En auditplan beskriver én audit, mens et auditprogram fordeler flere audits over en længere periode, så alle vigtige områder bliver gennemgået på skift. En mellemstor virksomhed med mange områder kan få mere ud af et program, hvor hvert område gennemgås grundigt på skift. Én bred audit når alt i samme omgang og må derfor gå mindre i dybden.
Ordene bruges ikke ens alle steder. På dette site betyder auditplan planen for én konkret audit: mål, omfang, kriterier, metoder, tidsplan og deltagere. Auditprogram betyder rækken af audits over flere år, med en begrundelse for rækkefølgen. Søger I på “intern auditplan”, møder I også ordet plan om det, der her kaldes program. Det er den samme tanke.
Auditplanen for én audit
NIST’s vejledning om vurdering af sikkerhedskontroller lægger vægt på, at organisationen selv vælger dybde og dækning for hver vurdering og skriver valget i vurderingsplanen. Den plan svarer til det, der her kaldes auditplan. Den bygger på opdraget og gør det konkret: hvilke systemer, hvilke personer, hvilke stikprøver og hvilke datoer.
En auditplan er nok, når spørgsmålet er afgrænset. Det kan være en ny direktør, der vil have et billede af adgang og backup, eller en kunde, der spørger til ét område. Hvordan et opdrag skrives, står i artiklen om at bestille en sikkerhedsaudit.
Auditprogrammet over flere år
Standarderne for intern revision beskriver, at interne revisionsfunktioner lægger en risikobaseret plan over flere opgaver. Planen bygger på, hvor stor risikoen er i forhold til, hvor godt kontrollerne kendes, og på ønsker fra bestyrelse og ledelse. De er skrevet til interne revisorer. Tanken kan bruges af en virksomhed, der henter auditor udefra.
Et program giver mening, når virksomheden har flere områder, end én audit kan dække grundigt. Det er et tænkt eksempel, men det kan se sådan ud:
- År 1. Adgangsstyring, backup og gendannelse, de områder med størst risiko.
- År 2. Leverandører, hændelseshåndtering og opdatering af systemer.
- År 3. Politikker, uddannelse og fysisk sikkerhed, samt opfølgning på fundene fra år 1.
Antallet af år er et valg, og der findes ingen fast norm for det. Rækkefølgen bør følge risikoen, og programmet bør justeres, når der sker noget væsentligt, fx en hændelse, en ny leverandør eller en omlægning af driften.
Hvordan risiko styrer rækkefølgen
Start med de områder, hvor en fejl rammer hårdest, og hvor I ved mindst om, hvordan kontrollerne virker. Et område med kendte, testede kontroller kan vente. Et område, hvor ingen har set efter i lang tid, bør komme tidligt.
Programmet bør også have plads til opfølgning. Fund fra en tidligere audit skal lukkes, og nogen bør kontrollere det. Hvordan det gøres, står i opfølgningsaudit og lukkebevis. Den løbende kontrol mellem de eksterne audits er beskrevet i egenkontrol og årshjul.
En målestok fra NIS 2
For virksomheder uden for NIS 2-loven er det følgende en målestok og ikke et krav. Forordning 2024/2690 dækker en gruppe digitale tjenester, bl.a. cloudtjenester, datacentertjenester og administrerede tjenester. Ifølge bilagets punkt 2.3.4 skal de uafhængige gennemgange ske efter en fast plan og desuden, når der har været en væsentlig hændelse eller ændring. Den kræver også, at overholdelsen overvåges med planlagte mellemrum (punkt 2.2.3).
Styrelsen for Samfundssikkerheds vejledning til NIS 2-loven anbefaler, at politikken og procedurerne for vurdering af foranstaltningerne bliver opdateret efter en plan og i øvrigt, når meget ændrer sig. Tilsammen peger det på det samme som et auditprogram: gennemgang efter en plan, der ændres, når virkeligheden gør. Hvordan forordningen kan bruges, når den ikke gælder, står i forordning 2024/2690 som målestok.
Programmet og modenheden
Et program over flere år kan også bruges til at følge udviklingen. Bruges samme kriterier og samme skala hver gang, kan resultaterne sammenlignes. Det er grundlaget for en måling af sikkerhedsmodenhed over tid, som er en egen disciplin med egne modeller. Her er pointen blot, at kriterierne bør ligge fast, hvis I vil kunne se fremgang.
Hvad det kræver, og hvad det koster at lade være
Et auditprogram kræver en liste over områderne, en vurdering af risikoen på hvert og en ejer af programmet, som holder øje med, at det bliver fulgt og justeret. Ledelsen bør godkende programmet, så det ikke falder bort, når budgetterne strammes.
Uden et program bliver auditten bestilt, når nogen spørger, og de samme synlige områder bliver undersøgt hver gang. Andre områder bliver ikke set på i årevis, og det opdages først, når der sker noget netop dér.
Det skal I lade være med
- At gøre den brede audit bredere hvert år · dybden forsvinder, og fundene bliver overfladiske.
- At låse programmet fast · en hændelse eller en ny leverandør bør flytte rækkefølgen.
- At skifte kriterier fra gang til gang · så kan resultaterne ikke sammenlignes.
Det skal auditten kunne vise
- ☐ En liste over områder med vurderet risiko og planlagt år.
- ☐ Begrundelse for rækkefølgen og dato for seneste justering.
- ☐ Ledelsens godkendelse af programmet.
- ☐ Opfølgning på fund fra tidligere audits indarbejdet i planen.
Kilder
- NIST, SP 800-53A Revision 5 (januar 2022), kapitel 2 og 3, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53Ar5.pdf, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), standard 9.4, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilag punkt 2.2.3 og 2.3.4, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 6.a, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Afgrænsning af en sikkerhedsaudit · Opfølgningsaudit og lukkebevis
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhedsvurdering hos Nielco IT
