Revisors IT-revision ser på de IT-kontroller, der har betydning for regnskabet. En sikkerhedsaudit ser på virksomhedens IT-sikkerhed som helhed, målt mod de kriterier, I aftaler. De to overlapper, men de har hver sit formål, og en ren påtegning på årsregnskabet siger lidt om, hvor godt resten af IT-miljøet er beskyttet.
Spørgsmålet dukker typisk op i den mellemstore virksomhed uden intern revision. Revisor har nævnt IT i sin rapport til bestyrelsen, og nogen spørger, om det ikke dækker sikkerheden. Svaret afhænger af, hvad revisor faktisk har kigget på, og hvorfor.
Hvad revisors IT-del ser på
Revisionen af et regnskab følger internationale revisionsstandarder. Den, der handler om at forstå virksomheden og risikoen for væsentlig fejlinformation, hedder ISA 315 (Revised 2019) og gælder for revision af regnskaber for perioder, der begynder 15. december 2021 eller senere. Vi bruger den engelske udgave fra IAASB, fordi den danske oversættelse ikke er læst til denne artikel.
Standarden definerer generelle IT-kontroller som kontroller over virksomhedens IT-processer, der understøtter, at IT-miljøet fortsat fungerer korrekt. Det omfatter bl.a., at informationen i systemerne forbliver fuldstændig, nøjagtig og gyldig. IT-processerne er ifølge standarden tre: at styre adgangen til IT-miljøet, at styre ændringer i programmer og miljø, og at styre IT-driften.
Revisor udvælger de generelle IT-kontroller ud fra de IT-applikationer og risici, der er relevante for revisionen. Det er vores tolkning, at revisors IT-del dermed er afgrænset af regnskabsrevisionens formål. Systemer, der ikke har betydning for regnskabet, behøver revisor ikke at se på.
Hvad en sikkerhedsaudit ser på
En sikkerhedsaudit har intet regnskab som omdrejningspunkt. Den ser på, om virksomheden styrer risikoen for sine data og systemer, og den måler mod kriterier, I vælger, fx jeres egen politik, et rammeværk eller en kundes krav. Begrebet er gennemgået i hvad er en sikkerhedsaudit.
Typiske områder er ledelse og politik, adgangsstyring, backup og genetablering, leverandører, medarbejdernes adfærd og den tekniske opsætning. Se hvad indgår i en sikkerhedsaudit. Produktionsanlæg, e-mail, filserveren med tegninger og kundeportalen kan være vigtige for sikkerheden, selv om de ikke påvirker regnskabet.
Hvor de overlapper
Adgangsstyring og ændringsstyring indgår i begge. Hvis revisor har testet, hvordan brugere oprettes og lukkes i økonomisystemet, kan en sikkerhedsaudit bruge det som en del af beviset for netop det system. Det er almindelig praksis at spørge revisor, hvilke systemer og kontroller der indgik, før en sikkerhedsaudit afgrænses. Så undgår I at få det samme undersøgt to gange.
Påtegningen er en anden sag
Revisorloven gælder, når en revisor afgiver revisionspåtegning på regnskaber og andre erklæringer med sikkerhed til andre end hvervgiveren selv. Påtegningen udtaler sig om regnskabet. Den udtaler sig ikke om IT-sikkerheden. Har revisor rapporteret svagheder i IT-kontrollerne til ledelse eller bestyrelse, er de værd at læse. De er stadig bemærkninger set fra regnskabet. Ønsker I en erklæring om IT-kontroller til kunder, er det et særskilt produkt. Se erklæring eller auditrapport.
Det, ingen af dem dækker
Ingen af de to er en test af, om et angreb kan lykkes. Det kræver en teknisk test, som er beskrevet i audit, pentest eller scanning.
Begge udtaler sig desuden om en tilstand i en bestemt periode eller på et bestemt tidspunkt. Hvad der sker mellem to gennemgange, afhænger af virksomhedens egen kontrol.
Og ingen af dem svarer automatisk på, hvordan sikkerheden udvikler sig over tid. Det er en måling af modenhed over flere år, der i større virksomheder ofte rapporteres til bestyrelsen.
Bestyrelsens del
Efter selskabslovens § 115, nr. 2, har bestyrelsen pligt til at påse, at procedurerne for risikostyring og intern kontrol er på plads. Bestemmelsen nævner ikke IT-sikkerhed. At IT-sikkerheden hører under risikostyring og interne kontroller, er en almindelig fortolkning, ikke en ordlyd. Loven kræver heller ikke en audit. Den bestyrelse, der vil have et uafhængigt billede, kan læse bestyrelsen vil have et uafhængigt billede.
Hvad det kræver, og hvad det koster at lade være
At skille de to ad kræver et kort møde med revisor om, hvilke systemer og kontroller der indgik i årets revision, og en gennemlæsning af det, revisor har rapporteret om IT. Det giver grundlaget for at afgrænse en sikkerhedsaudit.
Læser ledelsen påtegningen som en sikkerhedsgodkendelse, står de systemer, der ikke indgik i revisionen, uden nogen vurdering. Det gælder ofte netop de systemer, driften afhænger mest af.
Det skal I lade være med
- At læse en ren påtegning som en sikkerhedsvurdering · den udtaler sig om regnskabet.
- At bestille en sikkerhedsaudit uden at spørge revisor først · noget kan allerede være undersøgt.
- At regne med, at revisor har set alle systemer · udvalget følger regnskabets risici.
Det skal auditten kunne vise
- ☐ Hvilke systemer og kontroller revisor har testet, og hvilke der er med i sikkerhedsaudittens omfang.
- ☐ Hvor revisors resultater er brugt som bevis, og for hvilke systemer.
- ☐ Revisors bemærkninger om IT, og hvad der er gjort ved dem.
- ☐ Kriterierne for de systemer, der ligger uden for regnskabet.
Kilder
- IAASB, ISA 315 (Revised 2019), afsnit 10, 12(d), 12(g) og bilag 5, https://www.iaasb.org/system/files/publications/files/ISA-315-Full-Standard-and-Conforming-Amendments-2019-.pdf, læst 12. november 2026.
- Retsinformation, Lovbekendtgørelse nr. 206 af 20. februar 2025 (revisorloven), § 1, https://www.retsinformation.dk/eli/lta/2025/206, læst 12. november 2026.
- Retsinformation, Lovbekendtgørelse nr. 331 af 20. marts 2025 (selskabsloven), § 115, https://www.retsinformation.dk/eli/lta/2025/331, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Audit, revision, gennemgang og tjek · Intern og ekstern audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
