Prisen på en sikkerhedsaudit afhænger mest af omfanget, dvs. hvor mange systemer, processer og lokationer der er med, og af hvor grundigt hvert område undersøges. To tilbud kan først sammenlignes, når de beskriver det samme omfang, de samme kriterier og den samme metode.
Det lyder enkelt. Kommer forespørgslen ud uden de oplysninger, får tilbuddene hver sine forudsætninger. Den ene auditor har regnet med samtaler og en kort rapport, den anden med test af udvalgte systemer og besøg på to lokationer. Begge tal kan være rimelige for den opgave, de beskriver. Denne artikel gennemgår de forhold, der driver omfanget, og de punkter, et tilbud bør indeholde. Beløb står her ikke.
Det, der driver omfanget
Antal systemer, processer og lokationer. Jo flere der er med, jo mere er der at undersøge. En audit af to kritiske processer på ét kontor er en anden opgave end en audit af hele virksomheden på fem adresser. Hvordan omfanget vælges, står i afgrænsning af en sikkerhedsaudit.
Dybde og dækning. NIST skelner mellem, hvor grundigt auditor går til værks, og hvor bredt der kigges. Ønsker I en konklusion, der står fast, skal begge skrues op, og opgaven vokser tilsvarende.
Metoderne. En gennemgang, der bygger på dokumenter og interview, kræver mindre end en, der også tester, om kontrollerne virker. Skal auditor tage stikprøver i logs, brugerlister eller ændringer, vokser opgaven med antallet af sager.
Tekniske test. Indgår sårbarhedsscanning, penetrationstest eller konfigurationsgennemgang, kan den del flytte meget. Tag stilling til, om de hører med, eller om eksisterende testresultater kan bruges som bevis. Er de tekniske kontrolpunkter selve spørgsmålet, kan en teknisk gennemgang af opsætningen være den rigtige opgave.
På stedet eller på afstand. Fjernaudit med video og delte dokumenter kan spare rejsetid. Retningslinjerne for certificeringsorganer peger dog på, at brug af IKT kan kræve ekstra planlægning, og at fysiske processer ikke kan ses på afstand. Se på stedet eller på afstand.
Leverandørerne. Skal auditor have svar fra driftspartnere eller hostingudbydere, tager det tid at koordinere. Vil I have leverandøren selv gennemgået, hører det under leverandøraudit.
Rapportens form. En kort rapport til ledelsen er mindre arbejde end en rapport i flere udgaver til ledelse, bestyrelse og IT, med detaljerede bilag. Skriv i opdraget, hvem der skal læse rapporten.
Jeres eget forarbejde. Ligger politikker, procedurer og oversigter klar, går mindre tid med at finde dem. Det er et af de få forhold, I selv styrer direkte. Se dokumentlisten og bevismappen.
De punkter, et tilbud bør beskrive
Interne revisorer får efter deres standarder mål, omfang og kriterier ned på papir, før der arbejdes. Den logik kan bruges direkte, når tilbud skal sammenlignes. Et tilbud bør mindst beskrive
- målet med auditten, dvs. det spørgsmål, den besvarer,
- omfanget, med systemer, processer, lokationer og periode,
- kriterierne, fx egne politikker, en lov eller et rammeværk,
- metoderne pr. område, med dybde og dækning,
- leverancen, med rapportens indhold og modtagere,
- det, der ikke er med, og de forudsætninger, tilbuddet hviler på.
Det sidste punkt er let at overse. Et tilbud uden en liste over fravalg kan se billigere ud, fordi det dækker mindre, uden at det står nogen steder.
Sådan bliver to tilbud sammenlignelige
Send det samme opdrag på én side til alle. Bed dem svare i samme opstilling med punkterne ovenfor. Læg svarene i et skema med en række pr. punkt og en kolonne pr. tilbud. Forskelle i omfang og metode bliver så synlige, før prisen sammenlignes.
Afviger et tilbud meget fra de andre, så spørg ind til forudsætningerne. Forskellen kan skyldes, at auditor har læst omfanget anderledes, og så er det opdraget, der skal skærpes.
Spørg også, hvordan ændringer undervejs håndteres. Bliver et system utilgængeligt, eller kommer der et nyt område til, skal tilbuddet sige, hvordan det aftales, og hvem hos jer der godkender det. Så kommer en ændring i omfanget ikke bag på nogen, når opgaven er slut.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Hvad det kræver, og hvad det koster at lade være
At gøre tilbuddene sammenlignelige kræver et skriftligt opdrag og lidt disciplin, når svarene kommer. Den, der bestiller, læser tilbuddene punkt for punkt og stiller de samme opfølgende spørgsmål til alle.
Sammenlignes kun slutsummen, vælges let det tilbud, der dækker mindst. Det viser sig, når rapporten mangler det område, ledelsen helst ville have svar på, og en ny audit må bestilles.
Det skal I lade være med
- At sammenligne tilbud med forskelligt omfang · tallene beskriver forskellige opgaver.
- At overse listen over fravalg · det, der ikke er med, gør tilbuddet mindre.
- At bestille test, I allerede har resultater fra · eksisterende rapporter kan ofte bruges som bevis.
Det skal auditten kunne vise
- ☐ Omfang, kriterier og metode, som de stod i tilbuddet.
- ☐ Ændringer i omfanget undervejs og grunden til dem.
- ☐ Hvilke eksisterende testresultater der er brugt som bevis.
- ☐ Det, der ikke blev undersøgt, nævnt i rapporten.
Kilder
- NIST, SP 800-53A Revision 5 (januar 2022), kapitel 2 og 3, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53Ar5.pdf, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), standard 13.3 og 13.4, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
- International Accreditation Forum, IAF MD 4:2025, Issue 3, afsnit 3.1 og 4.2, https://iaf.nu/iaf_system/uploads/documents/IAF_MD_4_Issue_3_30012025.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Valg af auditor · Hvad påvirker prisen på en NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
