Interview i en audit bruges til at forstå, hvordan arbejdet faktisk foregår, og til at finde det bevis, auditor derefter efterprøver. Med til interview skal de personer, der udfører, styrer og godkender det, der undersøges. Det er ofte flere end IT-afdelingen. God forberedelse er at kende sine egne procedurer og have materialet klar.
Et audit interview er en samtale, hvor auditor prøver at forstå jeres arbejdsgang, så den kan sammenlignes med kriterierne. Det, der siges, indgår i beviset og bliver som regel efterprøvet bagefter.
Interview er én af tre metoder
NIST nævner interview som én af tre vurderingsmetoder. De to andre er at undersøge dokumenter og opsætninger og at teste. Interview bruges til at forstå, til at afklare og til at finde bevis. Dækningen af interview handler om, hvor mange og hvilke personer der interviewes.
Anerkendt revisionspraksis regner ikke et interview alene for nok til at vise, at en kontrol virker. Standarderne for finansiel revision beskriver, at forespørgsel alene ikke er nok, og at den kombineres med inspektion eller genudførelse. De er skrevet til regnskaber. Pointen er den samme her. Fortæller en medarbejder, at adgange gennemgås hvert kvartal, vil auditor bede om at se den seneste gennemgang.
Hvem skal med
Interviewlisten følger omfanget. Til en audit af styringen er det typisk disse roller, der bør med. Listen er et forslag og ikke et krav.
- Ledelsen. Den, der godkender politikken og modtager rapporteringen om risiko. For NIS2-omfattede er det ledelsesorganet med ansvaret efter § 7. Se ledelsens rolle i auditten.
- Den sikkerhedsansvarlige. Den, der har overblikket over politikker, risikovurdering og opfølgning.
- Driftsfolkene. Dem, der giver og fjerner adgange, tager backup og installerer opdateringer.
- Procesejerne. Dem, der ejer de forretningsprocesser, systemerne understøtter, fx økonomi eller produktion.
- HR. Den, der håndterer ansættelse og fratrædelse, fordi adgangen følger personen.
- Leverandøren. Har en driftspartner ansvaret for en del af driften, bør den, der kender den del, være med eller kunne svare skriftligt.
Lad auditor sige, hvem der ønskes, ud fra planen. Skru ikke selv ned for listen for at spare tid. Kan vigtige personer ikke stille op, hører det med i rapporten som en begrænsning.
Sådan forbereder I jer
God forberedelse er, at de personer, der skal interviewes, ved, hvad interviewet handler om, og har deres materiale ved hånden.
- Send emnerne til de interviewede i god tid, så de kan finde procedurer og eksempler frem.
- Bed dem tage det med, de arbejder med til daglig, fx skærmen med brugerlisten eller loggen over backupjob.
- Afklar på forhånd, hvem der svarer for hvad, så det ikke er den mest talende, der svarer på alt.
- Sig til de interviewede, at “det ved jeg ikke” er et gyldigt svar. Et gæt, der senere viser sig forkert, skader mere.
Et ærligt svar om, at noget ikke virker efter hensigten, er et bedre udgangspunkt for en handlingsplan end et pænt svar, beviset ikke bakker op. Hvordan materialet samles på forhånd, står i dokumentlisten og bevismappen.
Under interviewet
Auditor stiller typisk åbne spørgsmål om, hvordan noget foregår, og beder derefter om at se det. Det kan være en sag, et udtræk eller en skærm. At tage én sag og følge den gennem hele processen er en anerkendt teknik. Den er uddybet i følg én sag.
Lad gerne en kollega deltage som referent. Hører I noget, I er uenige i, så sig det, eller skriv det ned, så det kan afklares, før rapporten er endelig.
Referatet er bevis
Standarderne for intern revision regner interviewreferater blandt de arbejdspapirer, der dokumenterer arbejdet, så en kyndig person kan gentage det. Bed om at få referatet eller de vigtigste punkter til gennemsyn. Fejl i et referat bliver ellers til fejl i rapporten. Er et fund bygget på en misforståelse, er der en vej til at rette det, beskrevet i uenig i et fund.
Interviewer auditor tekniske medarbejdere om opsætningen af bestemte systemer, nærmer samtalen sig en teknisk gennemgang af kontrolpunkterne. Grænsen bør stå i opdraget.
Hvad det kræver, og hvad det koster at lade være
Interviews kræver tid fra de personer, der i forvejen har travlt. Planlæg dem tidligt, og læg dem, så de ikke falder sammen med driftens travle perioder. Forberedelsen er mest at finde materiale frem.
Uforberedte interviews giver usikre svar, og auditor må bruge tid på opfølgning. Stiller de rigtige personer ikke op, bygger rapporten på andenhåndsviden og kan ramme ved siden af.
Det skal I lade være med
- At øve svarene · auditor efterprøver det, der bliver sagt.
- At skære ned i interviewlisten · manglende personer bliver en begrænsning i rapporten.
- At lade et forkert referat stå · fejlen går videre til fundene.
Det skal auditten kunne vise
- ☐ En liste over interviewede roller og dato for hvert interview.
- ☐ Referater, som de interviewede har haft mulighed for at se.
- ☐ For hvert vigtigt udsagn: det dokument, udtræk eller den test, der bekræfter det.
- ☐ Personer, der ikke kunne interviewes, nævnt som begrænsning.
Kilder
- NIST, SP 800-53A Revision 5 (januar 2022), kapitel 2 og bilag C, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53Ar5.pdf, læst 12. november 2026.
- IAASB, ISA 315 (Revised 2019) med følgeændringer, herunder ISA 330 A26, https://www.iaasb.org/_flysystem/azure-private/publications/files/ISA-315-Full-Standard-and-Conforming-Amendments-2019-.pdf, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), standard 13.3, 14.1 og 14.6, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Stikprøver i audit · Design, indførelse og virkning
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
