Et fund er lukket, når det er efterprøvet, at den gennemførte handling har løst det, fundet beskrev. En mail om, at opgaven er klaret, er ikke nok. Lukkebeviset skal leve op til de samme krav som beviset i selve auditten, og jo vigtigere fundet er, jo grundigere bør efterprøvningen være.
En opfølgningsaudit er den gennemgang, der kontrollerer det. Den kan være en kort, selvstændig opgave, eller den kan indgå i næste års audit.
Hvad opfølgning er i anerkendt praksis
Standarderne for intern revision beskriver opfølgning som en fast metode. Revisor spørger til fremdriften, foretager risikobaserede opfølgningsvurderinger og fører status i et opfølgningssystem. Omfanget afhænger af fundets betydning. Et fund betragtes som lukket, når det er bekræftet, at handlingen har adresseret det.
Standarderne åbner også for, at ledelsen kan vælge en anden løsning end den anbefalede. En alternativ handlingsplan kan godtages og følges, hvis den løser fundet. Det afgørende er resultatet.
NIST tilføjer en detalje fra selve auditten. Kontroller, der ændres, mens rapporten er i høring, bør vurderes igen, før rapporten bliver endelig. Samme tanke gælder ved opfølgning. En ændret kontrol er en ny kontrol, og den skal vurderes som sådan.
Hvad et lukkebevis er
Et lukkebevis er det materiale, der viser, at handlingen er gennemført og virker. Standarderne for intern revision stiller tre krav til alt bevis. Det skal være relevant, pålideligt og tilstrækkeligt. Revisionsstandarden ISA 315 tilføjer, at et svar på et spørgsmål aldrig kan stå alene, når en kontrol vurderes.
Omsat til et lukkebevis betyder det, at bevisets art skal passe til fundet.
Et fund om en manglende procedure lukkes med den godkendte procedure og et spor, der viser, at den er taget i brug.
Et fund om en teknisk opsætning lukkes med et udtræk eller en observation, der viser den nye opsætning, med dato.
Et fund om en kontrol, der ikke virkede over tid, lukkes med bevis fra en periode efter rettelsen. Én dag er ikke nok. Forskellen er forklaret i øjebliksbillede eller periode.
Skriv allerede i handlingsplanen, hvad lukkebeviset for hvert fund skal være. Så er der intet at diskutere bagefter. Se fra fund til handlingsplan.
Hvordan en opfølgningsaudit foregår
En opfølgningsaudit har et smallere omfang end den oprindelige. Den tager udgangspunkt i listen over fund og gennemgår dem, der er meldt lukket, samt dem, der er forsinket.
For de lukkede fund kontrollerer auditor lukkebeviset og tager stikprøver, hvor det er relevant. For de forsinkede indhenter auditor en forklaring. Står et fund stille, bør årsagen ifølge standarderne for intern revision dokumenteres. Auditor overvejer også, om den manglende handling i realiteten er en risiko, ledelsen har taget på sig uden at have besluttet det.
Resultatet er en kort rapport med status pr. fund: lukket, delvist lukket eller åbent. Rapporten går til de samme modtagere som den oprindelige.
Arbejdspapirerne bag opfølgningen
Det materiale, auditor samler, er arbejdspapirer. Standarderne for intern revision kræver af interne revisorer, at dokumentationen gør det muligt for en fagkyndig at gentage arbejdet og komme til samme resultat. Arbejdspapirerne omfatter fx referater, test, populationer, stikprøvernes størrelse og hvordan de er valgt.
For jer betyder det, at I kan spørge, hvad auditor har set for at lukke et fund. Aftal i opdraget, hvor længe arbejdspapirerne gemmes, og om I kan få kopi af lukkebeviset.
NIS2 og opfølgning
Under NIS 2-loven har opfølgningen også et grundlag i myndighedens vejledning. Den anbefaler, at enhedens procedurer for at vurdere effektivitet beskriver, hvad der sker med en svag foranstaltning, så der kommer en opfølgning. En opfølgningsaudit er én måde at opfylde det på.
Den tekniske efterprøvning af rettede opsætninger er beskrevet under tekniske kontrolpunkter. Den, der vil følge lukningen af fund som et mål for modenhed, finder mere under modenhed over tid.
Et opfølgningsregister gør arbejdet lettere. Det er en simpel liste med fund, ejer, planlagt dato, status, lukkebevis og den, der har efterprøvet det. Registret kan føres af jer selv, og auditor kan tage udgangspunkt i det ved næste gennemgang. Standarderne for intern revision nævner netop et opfølgningssystem som en del af metoden.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at handlingsplanen angiver lukkebeviset, at ejerne afleverer det, og at nogen uafhængig af ejeren vurderer det. Hvor ofte opfølgningen sker, er jeres valg. For de vigtigste fund bør den ikke vente til næste fulde audit.
Uden opfølgning ved ingen, om fundene er lukket. Næste audit finder så de samme mangler, og ledelsen har fået at vide, at de var løst.
Det skal I lade være med
- At lukke et fund på en mail · forespørgsel er ikke bevis.
- At lade ejeren lukke sit eget fund · lukningen skal efterprøves af en anden.
- At lukke et fund om virkning på én dags bevis · virkning kræver en periode.
Det skal auditten kunne vise
- ☐ Et lukkebevis for hvert lukket fund, af en art der passer til fundet.
- ☐ Hvem der har efterprøvet lukningen, og hvornår.
- ☐ En forklaring for hvert forsinket fund.
- ☐ Status pr. fund i en opfølgningsrapport.
- ☐ En aftale om arbejdspapirerne.
Kilder
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 14.1, 14.6 og 15.2, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3, læst 12. november 2026.
- IAASB, ISA 315 (Revised 2019), A177, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 6.a, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ud for hvert åbent fund, hvad der skal til, før det kan kaldes lukket.
Læs også: Stikprøver i en audit · Andet sikkerhedstjek et år efter
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
