En stikprøve er et udvalg af sager, som auditor efterprøver i stedet for at gennemgå dem alle. Den kan sige noget om resten, hvis den er valgt, så den ligner helheden, og hvis afvigelser i udvalget bliver taget alvorligt i stedet for at blive forklaret væk.
For bestilleren er stikprøven det sted, hvor en rapport bliver troværdig eller tom. Det er her, I kan se, om konklusionen hviler på jeres hverdag eller på de sager, nogen har valgt at vise frem.
Hvad en stikprøve er
Den irske udgave af revisionsstandarden ISA 530 beskriver en stikprøve som revisionshandlinger på mindre end hele populationen, udført så alle enheder har en chance for at blive valgt. Populationen er alle de sager, konklusionen skal gælde for. Det kan være alle ændringer i firewallen i en periode, alle nye brugere eller alle medarbejdere, der er stoppet.
Den sidste del af definitionen er vigtig. Kan nogle sager ikke blive valgt, fordi de ligger i et andet system eller ikke er med på listen, gælder konklusionen ikke for dem. Derfor skal populationen være fuldstændig, før udvælgelsen begynder.
Udvælgelse uden skævhed
Stikprøven skal være repræsentativ, så skævhed undgås. Standarden nævner tre almindelige metoder. Tilfældig udvælgelse giver hver sag samme chance. Systematisk udvælgelse tager hver n’te sag med et fast interval. Den tredje metode vælger uden fast struktur, men også uden bevidst at foretrække bestemte sager.
To andre greb er nyttige at kende. Blokudvælgelse tager en sammenhængende række, fx alle sager fra én uge. Den bruges sjældent, når der skal konkluderes om hele perioden, fordi ugen kan være usædvanlig. Stratificering deler populationen i ensartede grupper, fx privilegerede konti og almindelige konti, og vælger fra hver. Det sikrer, at de få, vigtige sager ikke drukner.
Der skelnes også mellem statistiske og ikke-statistiske stikprøver. En statistisk stikprøve kræver tilfældig udvælgelse og brug af sandsynlighedsregning. Størrelsen afgør ikke i sig selv, om den er statistisk. Er stikprøven ikke-statistisk, bygger konklusionen på auditors faglige vurdering. Spørg, hvilken slags der er brugt.
Hvor sikker er konklusionen?
ISA 530 kalder det stikprøverisiko, når konklusionen på et udvalg bliver en anden, end hvis alle sager var gennemgået. Ved test af kontroller er den alvorlige fejl, at en kontrol vurderes som mere effektiv, end den er. Derudover findes ikke-stikprøverisiko. Den opstår, når auditor fejler af andre grunde, fx ved at bruge en forkert handling eller overse en afvigelse.
NIST beskriver det samme fra en anden vinkel. En grundlæggende gennemgang bruger en repræsentativ stikprøve for at se, om kontrollerne er indført og fri for åbenlyse fejl. En omfattende gennemgang bruger en tilstrækkeligt stor stikprøve og giver mere grund til at tro, at kontrollerne virker løbende. Jo mere sikker konklusionen skal være, jo større dybde og dækning.
Standarderne for intern revision peger på et alternativ. Med dataanalyse kan hele populationen ofte gennemgås. Kan alle konti sammenholdes med lønsystemets liste over fratrådte, er der ingen grund til at nøjes med et udvalg.
Når en sag i udvalget afviger
Den svære situation er en afvigelse. Det kan være en konto, der blev lukket for sent, eller en ændring uden godkendelse. Fristelsen er at kalde den en enlig undtagelse. ISA 530 siger, at en afvigelse kun må behandles som enestående, hvis det med høj grad af sikkerhed er vist, at den ikke er repræsentativ.
For jer betyder det, at “det var en særlig sag” kræver bevis. Ellers vil en god auditor udvide udvalget eller skrive fundet. Hvordan fundet klassificeres, står i klassificering af fund, og hvad I gør, hvis I mener, det er forkert, i uenig i et fund.
Stikprøver i NIS2 og i leverandørforhold
NIS 2-loven bruger selv ordet. Efter § 21, stk. 1, nr. 1, kan den kompetente myndighed udføre stikprøvekontroller hos væsentlige enheder. Det er en grund til, at jeres egen audit bør bruge samme tankegang. Konkrete udvælgelser af tekniske indstillinger behandles under tekniske stikprøver i en NIS2-audit og de enkelte kontrolpunkter. Den kunde, der vil tjekke en leverandørs kontroller, finder metoden under audit af leverandøren.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I kan levere en fuldstændig liste over sagerne i perioden, og at auditor selv vælger fra listen. I skal også kunne finde bevis for hver valgt sag inden for rimelig tid.
Uden en ordentlig udvælgelse står rapporten med en konklusion, der kun gælder de sager, der blev vist. Den kan ikke bære over for en bestyrelse eller en myndighed, og den giver jer selv et for pænt billede.
Det skal I lade være med
- At vælge sagerne selv · så er udvalget ikke længere repræsentativt.
- At aflevere en liste, der mangler sager · konklusionen gælder så ikke for dem, der mangler.
- At kalde en afvigelse enestående uden bevis · auditor har brug for beviset bag påstanden.
Det skal auditten kunne vise
- ☐ Populationen og hvor den kommer fra.
- ☐ Udvælgelsesmetoden for hver stikprøve.
- ☐ Hvem der valgte sagerne.
- ☐ Hvordan hver afvigelse er behandlet.
- ☐ Om hele populationen kunne gennemgås med dataanalyse.
Kilder
- IAASA, ISA (Ireland) 530 Audit Sampling, oktober 2022, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, bilag C, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 21, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, om I kan trække en fuldstændig liste over ændringer, nye brugere og fratrædelser for det seneste år.
Læs også: Følg én sag fra start til slut · Øjebliksbillede eller periode
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
