En sikkerhedsaudit forløber i fire trin: en indledende samtale, selve gennemgangen, en rapport og en fælles gennemgang af resultaterne. I hvert trin skal virksomheden levere noget bestemt, og det er jeres egne leverancer, der afgør, om auditten bliver præcis eller bare lang.
Artiklen beskriver forløbet for en virksomhed, der selv har valgt at få en audit, fordi bestyrelsen, en kunde eller ledelsen vil have et uafhængigt svar. Er I omfattet af NIS 2-loven, har forløbet andre modtagere og kriterier, og det står i forløbet i en NIS2-audit.
Trin 1: samtalen, der fastlægger opgaven
Den første samtale handler om, hvad auditten skal svare på. Anerkendt praksis fra standarderne for intern revision er, at mål, omfang og kriterier fastlægges og skrives ned, før arbejdet begynder. Omfanget nævner de aktiviteter, lokationer, processer og systemer, der er med, og den periode, gennemgangen dækker.
Kriterierne er det, jeres praksis måles imod. Det kan være jeres egne politikker, en kontrakt med en kunde eller en anerkendt ramme. Hvordan I vælger dem, står i artiklen om auditkriterier.
Det, I leverer i trinnet, er et klart formål og en person, der kan træffe beslutninger om omfanget. Kan ingen sige, hvem rapporten er til, bliver resten af forløbet uskarpt. Et kort opdrag hjælper, og opdraget på én side viser, hvad det bør indeholde.
Trin 2: gennemgangen af systemer, processer og dokumentation
Gennemgangen følger det aftalte omfang. NIST beskriver tre metoder, som auditor kombinerer. Den første er at undersøge dokumenter, opsætninger og aktiviteter. Den anden er at interviewe de personer, der udfører arbejdet. Den tredje er at teste, altså afprøve en kontrol under bestemte forhold og sammenligne resultatet med den ønskede tilstand.
Planen bør også sige, hvor dybt og hvor bredt der gås. NIST kalder det dybde og dækning. Jo sikrere konklusionen skal være, jo flere objekter og personer indgår, og jo grundigere bliver hver del undersøgt.
I leverer adgang og materiale. Det betyder politikker og procedurer, udtræk fra systemerne og de personer, auditor skal tale med. Hvem der typisk skal med til samtalerne, står i interviews i auditten. De tekniske kontrolpunkter, en gennemgang kan omfatte, behandles i dybden under teknisk gennemgang af kontrolpunkterne.
Trin 3: rapporten, først foreløbig og så endelig
God praksis efter NIST er, at I først modtager en foreløbig rapport. Her kan I rette svagheder, der hurtigt kan rettes, og afklare misforståelser om, hvordan et resultat er tolket. Kontroller, der bliver ændret i perioden, bør vurderes igen, før rapporten bliver endelig.
Af rapporten bør fremgå genstanden for gennemgangen, datoen, auditors navn, de anvendte metoder og den valgte dybde. Hvert fund bør vise forskellen mellem kriteriet og den tilstand, auditor fandt. Et resumé til ledelsen samler hovedfund og anbefalinger. Arbejdspapirerne, altså referater og udtræk, gemmes som spor af beviset, men står normalt ikke i selve rapporten.
I leverer jeres kommentarer til den foreløbige udgave. Det er her, en faktuel fejl skal frem. Hvordan uenighed håndteres, står i uenig i et fund.
Trin 4: gennemgangen af resultaterne
Den sidste samtale tager rapporten igennem med de personer, der skal handle på den. Formålet er, at alle forstår fundene og prioriteringen ens. Ifølge standarderne for intern revision bør anbefalinger drøftes med ledelsen, og gennemførelsen er ledelsens ansvar.
I leverer en ejer og en planlagt dato for hver handling. Uden dem bliver rapporten en beskrivelse, ingen arbejder efter. Hvordan fundene bliver til en plan, står i fra fund til handlingsplan.
Efter auditten: opfølgning
Forløbet slutter først, når handlingerne er gennemført. Anerkendt praksis er at spørge til fremdrift, følge status i en oversigt og kontrollere de vigtigste fund igen. Hvor grundig opfølgningen er, afhænger af fundets betydning. Det beskrives i opfølgningsaudit og lukkebevis.
Hvad det kræver, og hvad det koster at lade være
Forløbet kræver en kontaktperson i virksomheden, adgang til systemer og dokumenter og tid fra de medarbejdere, der skal interviewes. Ledelsen skal være med ved første og sidste samtale. Hvor meget tid det tager, afhænger af omfanget, og det bør stå i tilbuddet.
Springer I et trin over, mister I noget bestemt. Uden den første samtale måler auditor mod kriterier, I ikke har valgt. Uden den foreløbige rapport kommer misforståelser med i den endelige. Uden den sidste samtale ligger rapporten hos én person, og fundene får ingen ejer.
Det skal I lade være med
- At starte gennemgangen uden skrevne kriterier · så kan ingen bagefter sige, hvad et fund er målt imod.
- At springe den foreløbige rapport over · det er jeres eneste chance for at rette fejl i fakta.
- At lade rapporten slutte forløbet · uden ejere og datoer sker der intet.
Det skal auditten kunne vise
- ☐ Mål, omfang og kriterier skrevet ned, før gennemgangen begyndte.
- ☐ De metoder, der er brugt, og hvor dybt og bredt der er gået.
- ☐ En foreløbig rapport med jeres kommentarer, og en endelig udgave.
- ☐ En ejer og en dato for hver handling.
- ☐ En aftale om, hvordan der følges op.
Kilder
- NIST, Special Publication 800-53A Revision 5, januar 2022, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv i én sætning, hvem rapporten er til, og hvad den skal kunne svare på.
Læs også: Hvad indgår i en sikkerhedsaudit? · Stikprøver i en audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
