En intern audit er virksomhedens egen gennemgang af sig selv, enten med egne folk eller med en ekstern auditor, der arbejder på virksomhedens vegne. En ekstern audit udføres af en anden part, fx en kunde eller et certificeringsorgan, som skal bruge resultatet til sit eget formål. Skellet går ved, hvem der har bestilt auditten, og hvem den tjener.
Ordene bruges ofte forskelligt. En ekstern konsulent kan godt lave en intern audit, og egne medarbejdere kan aldrig lave en ekstern. Artiklen er skrevet til den virksomhed, der ikke har en intern revisionsfunktion og skal finde ud af, hvem der kan gennemgå hvad.
Sådan skelner definitionen
Den internationale definition af audit, som bl.a. NIST gengiver, har to noter, der hjælper her. Den første siger, at en audit kan være intern, også kaldet førsteparts, eller ekstern, dvs. anden- eller tredjeparts. Den anden siger, at en intern audit udføres af organisationen selv eller af en ekstern part på dens vegne.
Dansk Standard beskriver intern audit som organisationens egen gennemgang af sit ledelsessystem udført af egne medarbejdere. Det er den mest udbredte form. Noten i definitionen viser, at det ikke er den eneste.
De tre parter
Første part. Virksomheden selv. Det kan være en medarbejder, der gennemgår et andet område end sit eget, eller en ekstern auditor, I hyrer til opgaven. Rapporten tilhører jer, og I bestemmer, hvem der må læse den.
Anden part. En kunde eller en anden interessent, der auditerer jer, fordi de har en aftale med jer. Kunden fastlægger kriterierne inden for aftalen og bruger resultatet til sin egen vurdering af jer.
Tredje part. En uafhængig organisation, typisk et certificeringsorgan, der vurderer jer mod en standard for at kunne udstede et certifikat. I Danmark kan certificeringsorganer akkrediteres af DANAK. Hvordan certificeringsaudit adskiller sig fra andre audits, står i tre slags ISO 27001-audit.
Hvad egne folk kan
Egne medarbejdere kender systemerne, kulturen og historikken. De kan gennemgå et område hurtigt og stille de rigtige opfølgende spørgsmål. Til løbende kontrol af, om procedurer følges, er de ofte et godt valg, hvis de har lidt træning i metoden.
Begrænsningen er uafhængigheden. Ingen bør auditere sit eget arbejde, og i en mindre virksomhed er der sjældent nogen, der ikke har haft en finger med i IT-sikkerheden. Egne folk kan også have svært ved at skrive et fund om en kollega eller en chef. Det er vurderinger, der hører til praksis, og som I selv må tage stilling til i jeres virksomhed.
Hvad en ekstern auditor tilføjer
En ekstern auditor, der arbejder for jer, kommer udefra og har ingen andel i det, der vurderes. Rapporten bliver derfor lettere at bruge over for en bestyrelse, en kunde eller en forsikring. En ekstern auditor kan også sammenligne med, hvordan opgaven typisk løses, og har metoden på plads fra start.
Til gengæld kender den eksterne ikke virksomheden og bruger tid på at lære den at kende. Den tid er en del af prisen for uafhængigheden. Hvordan uafhængighed prøves i praksis, står i uvildig sikkerhedsaudit, og valget af auditor i valg af auditor.
Intern revision som funktion
Større virksomheder har en egentlig intern revisionsfunktion. Den arbejder efter egne internationale standarder. The IIA’s Global Internal Audit Standards fra 2024 har 15 principper i fem domæner, bl.a. om at bevare objektiviteten, om at være placeret uafhængigt og om bestyrelsens tilsyn med funktionen. Standarderne er obligatoriske for interne revisionsfunktioner, der følger IIA’s rammeværk.
Har I ikke en sådan funktion, er standarderne mest nyttige som en påmindelse om, hvad der gør en intern gennemgang troværdig. Hvordan intern revision og de tre forsvarslinjer arbejder i en koncern, er emnet for modenhed og intern revision i større virksomheder.
Sådan kan de tre kombineres
En almindelig opdeling i en virksomhed uden intern revision er denne:
- Egne folk tjekker løbende, at de vigtigste rutiner følges, fx at brugere lukkes ved fratrædelse, og at backup bliver testet.
- En ekstern auditor gennemgår med faste mellemrum det hele eller udvalgte områder på jeres vegne.
- Kunder eller certificeringsorganer auditerer, når en aftale eller et certifikat kræver det.
Det, egne folk finder, kan bruges som bevis i den eksterne audit, hvis det er dokumenteret. Planlægningen over flere år er beskrevet i auditplan og auditprogram. Hvordan en NIS2-omfattet virksomhed fordeler opgaven, står i intern eller ekstern NIS2-audit.
Hvad det kræver, og hvad det koster at lade være
En intern gennemgang med egne folk kræver en person med tid, lidt metode og en klar aftale om, at han eller hun ikke gennemgår sit eget område. En ekstern audit på jeres vegne kræver et opdrag, adgang og nogle dages tid hos de berørte medarbejdere.
Uden nogen af delene ved ledelsen ikke, om de rutiner, der står i politikken, faktisk følges. Første gang det bliver prøvet, er det måske en kunde eller et certificeringsorgan, der gør det, og så er det deres kriterier og deres tidsplan.
Det skal I lade være med
- At lade en medarbejder gennemgå sit eget område · vurderingen mister sin uafhængighed.
- At forveksle en ekstern auditor på jeres vegne med en tredjepartsaudit · kun den sidste kan føre til et certifikat.
- At lade interne fund forsvinde i en mail · de kan bruges som bevis, hvis de er skrevet ned.
Det skal auditten kunne vise
- ☐ Hvem der har udført hver gennemgang, og om vedkommende har ansvar for området.
- ☐ Hvilke interne gennemgange der er lavet siden sidst, og hvad de fandt.
- ☐ Hvordan interne fund er fulgt op.
- ☐ Hvem rapporten er skrevet til, og hvem der må få den.
Kilder
- NIST, Computer Security Resource Center, Glossary, “audit”, note 1 og 2, https://csrc.nist.gov/glossary/term/audit, læst 12. november 2026.
- Dansk Standard, Internal audit, ISO 19011, https://www.ds.dk/en/about-standards/management-systems/iso-19011-internal-audit, læst 12. november 2026.
- The IIA, Global Internal Audit Standards (2024), https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/, læst 12. november 2026.
- DANAK, Om akkreditering, https://danak.dk/om-akkreditering, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er en sikkerhedsaudit · Tre slags ISO 27001-audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
