En sikkerhedsaudit bestilles bedst med et kort, skriftligt opdrag, der siger, hvilket spørgsmål auditten besvarer, hvad der måles imod, hvad der er med, og hvem der modtager resultatet. Står de punkter på én side, kan den samme tekst gå til flere auditorer, og tilbuddene kan lægges ved siden af hinanden.
Uden et opdrag definerer hver auditor selv, hvad opgaven er. Den ene tilbyder en samtale og en kort rapport, den anden en gennemgang med test af tre systemer. Begge kan være rimelige. I kan bare ikke vælge mellem dem, før I har bestemt, hvad I vil vide. Denne artikel gennemgår felterne på siden ét for ét.
Hvorfor opdraget kommer før tilbuddet
Ifølge de internationale standarder for intern revision bør hver opgave have mål, omfang og kriterier beskrevet på skrift, inden arbejdet går i gang. De er skrevet til interne revisorer. Logikken holder også for en virksomhed, der henter en auditor udefra. Det, der ikke står skrevet før start, bliver let til en diskussion, når rapporten kommer.
Opdraget er samtidig jeres egen kontrol. Kan I ikke formulere spørgsmålet på et par linjer, er det et tegn på, at der først skal en intern snak til om, hvorfor auditten bestilles.
De seks felter på siden
1. Formål. Hvilket spørgsmål skal auditten svare på, og hvem har stillet det? Et tænkt eksempel er en bestyrelse, der vil vide, om adgangsstyring og backup lever op til virksomhedens egen politik. Et andet er en kunde, der beder om dokumentation. Formålet afgør resten af siden.
2. Kriterier. Kriterierne er det, den faktiske tilstand sammenlignes med. Standarderne for intern revision nævner fire slags: interne politikker og procedurer, love, regler og kontrakter, anerkendte rammeværk og vejledninger samt forventninger ud fra, hvordan en kontrol er tænkt. Er virksomheden omfattet af NIS 2-loven, er lovens § 6 og myndighedens vejledning det naturlige grundlag, og så er forskellen på skal, bør og kan værd at kende.
3. Omfang. Hvilke aktiviteter, processer, systemer og lokationer er med, og hvilken periode dækker auditten? Valget af omfang har sin egen artikel om afgrænsning af en sikkerhedsaudit. Skriv også, hvad der bevidst er holdt ude.
4. Modtager. Hvem læser rapporten? En direktion, en bestyrelse og en IT-afdeling har brug for forskellig detaljegrad. Standarderne for intern revision åbner for, at samme resultat udsendes i flere udgaver til forskellige modtagere. Skriv det ind fra starten.
5. Leverance. Beskriv, hvad rapporten indeholder. NIST’s vejledning om vurdering af sikkerhedskontroller nævner bl.a. hvad der er vurderet, hvornår og af hvem, de valgte metoder, fund pr. kontrol og anbefalinger med prioritet. Hvordan en færdig rapport er bygget op, står i artiklen om NIS2-auditrapporten.
6. Tidsramme. Hvornår skal resultatet ligge, og hvilke perioder passer dårligt, fx regnskabsafslutning eller sæsontoppe? Angiv også, hvem hos jer der er kontaktperson.
Skabelon til opdraget
Kopiér felterne, og skriv jeres eget svar i stedet for teksten i parentes. Den er et tænkt eksempel, ikke en anbefaling.
- Formål og spørgsmålsstiller · (Bestyrelsen vil vide, om adgangsstyring og backup følger vores egen politik.)
- Kriterier · (Egen informationssikkerhedspolitik, version og dato.)
- Omfang: med · (Adgangsstyring og backup for økonomisystemet og filserveren, hovedkontoret.)
- Omfang: bevidst ikke med · (Produktionsnettet og datterselskabet.)
- Periode, auditten udtaler sig om · (De seneste tolv måneder.)
- Metoder pr. område · (Dokumentgennemgang, interviews og stikprøver.)
- Modtager og udgaver af rapporten · (Bestyrelsen: kort udgave. IT: fuld udgave.)
- Leverance · (Rapport med fund pr. område, klassifikation og anbefalinger.)
- Tidsramme og perioder, der passer dårligt · (Rapport før bestyrelsesmødet. Ikke under regnskabsafslutningen.)
- Kontaktperson hos os · (Navn og rolle.)
Metoden hører med i opdraget
NIST beskriver tre metoder: at gennemgå dokumenter og opsætninger, at interviewe medarbejdere og at teste, om en kontrol virker under givne forhold. Metoderne kan anvendes mere eller mindre grundigt og på flere eller færre genstande. NIST kalder det dybde og dækning. Skal konklusionen stå fast, kræver den begge dele i større omfang.
Bed derfor auditor om at skrive i tilbuddet, hvilke metoder der bruges på hvert område. Et tilbud, der kun nævner samtaler, giver et andet svar end et, der også rummer stikprøver og interviews med flere roller. Forskellen bør være synlig, før I skriver under.
Når omfanget ændrer sig undervejs
Undervejs kan et system vise sig utilgængeligt, eller en nøgleperson kan være fraværende. Anerkendt praksis er, at ændringer i mål og omfang meddeles skriftligt, og at begrænsninger, der ikke bliver løst, står i rapporten. Den aftale, der regulerer adgang, fortrolighed og ansvar, er beskrevet i auditaftalen.
Skal auditten senere indgå i en måling af sikkerhedsmodenhed over flere år, er det værd at nævne i opdraget. Så kan kriterier og skala vælges, så resultaterne kan sammenlignes næste gang.
Hvad det kræver, og hvad det koster at lade være
Et opdrag på én side kræver, at den, der bestiller, og den, der ejer det reviderede område, sætter sig sammen og bliver enige om formål, kriterier og omfang. For de fleste er det et kort møde og en side tekst. Det sværeste er som regel at blive enige om, hvad der ikke er med.
Uden opdraget bliver tilbuddene svære at sammenligne, og den auditor, der vælges, fastlægger selv opgaven. Kommer rapporten tilbage med svar på et andet spørgsmål end det, ledelsen stillede, er tid og penge brugt, og spørgsmålet står stadig åbent.
Det skal I lade være med
- At sende en tom forespørgsel · uden formål og kriterier får I tilbud på forskellige opgaver.
- At udelade det, der er holdt ude · det, der ikke er nævnt, antager læseren af rapporten er undersøgt.
- At lade metoden være op til tilbuddet · samtaler alene giver et andet svar end gennemgang og test.
Det skal auditten kunne vise
- ☐ Et skriftligt opdrag med formål, kriterier, omfang, modtager, leverance og tidsramme.
- ☐ Hvilke metoder der er brugt på hvert område, og med hvilken dybde og dækning.
- ☐ Ændringer i omfanget undervejs, og hvem der har godkendt dem.
- ☐ Begrænsninger, der ikke blev løst, nævnt i rapporten.
Kilder
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), standard 13.1, 13.3, 13.4 og 15.1, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
- NIST, SP 800-53A Revision 5, Assessing Security and Privacy Controls in Information Systems and Organizations (januar 2022), kapitel 2 og 3 samt bilag E, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53Ar5.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad påvirker prisen på en sikkerhedsaudit · Forløbet i en sikkerhedsaudit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
