En tjekliste er et godt arbejdsredskab i en audit, fordi den sikrer, at intet område bliver glemt. Men den er ikke målestokken. Kriteriet ligger i jeres politik, i et rammeværk eller i en lov, og et kryds ved “ja” er først noget værd, når der ligger et bevis bag.
Tjeklister er populære, og der findes mange af dem: til ISO 27001, til NIS 2, til intern audit og til IT-sikkerhed generelt. De giver struktur og et hurtigt overblik. Problemet opstår, når listen bliver brugt som svaret i stedet for som spørgsmålene. Artiklen viser, hvordan en tjekliste bruges rigtigt, og hvor den lukker øjnene for noget.
Hvor tjeklisten hjælper
En tjekliste gør auditten systematisk. Den sikrer, at auditor stiller de samme spørgsmål hver gang, at ingen områder bliver sprunget over, og at to audits kan sammenlignes. For den, der skal forberede sig, giver den et overblik over, hvad der vil blive spurgt om.
Ifølge Dansk Standards beskrivelse af ISO 19011 indeholder vejledningen bl.a. en tjekliste til brug for auditorer. Vi har kun læst Dansk Standards resumé og ikke selve standarden, så hvad tjeklisten indeholder, står ikke her. At den findes i den internationale vejledning, viser dog, at tjeklisten er en anerkendt del af værktøjskassen.
Hvorfor tjeklisten ikke er kriteriet
Vejledningen om audit og måling fra sikkerdigital.dk afviser at auditere mod brede udsagn om god praksis eller et tilstrækkeligt niveau. Kravene skal være skrevet konkret i politikker, procedurer, aftaler eller kontrolbeskrivelser. Det er vores tolkning, at en tjekliste derfor ikke selv kan være kriteriet. Den peger på kriterier, der står et andet sted.
Et tænkt eksempel viser det. En tjekliste spørger: “Har I en backup?” Virksomheden svarer ja. Men kriteriet i virksomhedens egen politik siger, at backup af økonomisystemet skal tages dagligt, ligge adskilt fra det øvrige miljø og gendannes som prøve hvert kvartal. Spørgsmålet på listen dækker kun en lille del af kriteriet, og ja-svaret siger intet om resten.
Hvor målestokken kan hentes fra, står i artiklen om auditkriterier.
Ja uden bevis
Den største fare ved en tjekliste er ja-svaret uden bevis. Når den, der besvarer listen, også er den, der har ansvaret for området, er det fristende at svare ja, hvis tingene for det meste er i orden. Over tid kan en lang række ja-svar give et billede af sikkerheden, der ikke holder.
D-mærkets proces viser forskellen. Først laver virksomheden en selvevaluering. Bagefter ser mærkets egne auditorer på det materiale, der er lagt op, og først da kan mærket tildeles. Selvevalueringen er et redskab til at blive klar. Det er dokumentationen, der bliver vurderet. Se D-mærket eller en sikkerhedsaudit.
Det samme gælder værktøjer, hvor sandsynlighed og konsekvens vurderes af virksomheden selv. Dansk Standards guide om risikostyring for mindre virksomheder beskriver Erhvervsstyrelsens IT-risikovurderingsværktøj, hvor scenarier selvvurderes på en skala fra 1 til 5. Det er et nyttigt udgangspunkt. Men et selvsvar er ikke bevis, og en auditor vil spørge til, hvad der ligger bag.
Sådan bruges tjeklisten rigtigt
Som disposition. Lad listen styre rækkefølgen og sikre, at alle områder er med. Hvad indgår typisk, står i hvad indgår i en sikkerhedsaudit.
Med en kolonne til bevis. For hvert punkt skrives, hvilket dokument, udtræk, interview eller stikprøve der understøtter svaret. Mangler beviset, er svaret ikke ja. Det er en god vane uanset, om listen bruges af auditor eller af jer selv før auditten.
Med en kolonne til kriteriet. For hvert punkt skrives, hvor kravet kommer fra: hvilken politik, hvilket afsnit i et rammeværk eller hvilken bestemmelse i en lov. Så kan listen opdateres, når kriteriet ændrer sig.
Med plads til det, listen ikke spørger om. En god auditor stopper ved det uventede: et system, ingen har nævnt, eller en praksis, der afviger fra det beskrevne. Det skal kunne skrives ned, selv om der ikke er en rubrik til det.
Hvordan beviset indsamles med stikprøver, står i stikprøver i audit.
Når I selv bruger en tjekliste
Mange virksomheder bruger en tjekliste til egen kontrol mellem to audits. Det er en god idé, hvis listen har de to kolonner til bevis og kriterium. Så kan auditor bruge den som bevis næste gang. Hvordan egenkontrollen planlægges over året, er beskrevet i egenkontrol og årshjul.
Hvad det kræver, og hvad det koster at lade være
At bruge en tjekliste rigtigt kræver, at hvert punkt kobles til et kriterium og et bevis. Første gang tager det tid at finde ud af, hvor beviset ligger. Bagefter går det hurtigere, fordi det samme bevis kan findes frem hver gang.
Bruges listen uden bevis, får I et resultat, der ser grundigt ud, men som ikke kan forsvares, når en kunde, en bestyrelse eller et tilsyn spørger, hvad der ligger bag svarene. Og de huller, listen ikke spurgte om, bliver ved med at være der.
Det skal I lade være med
- At sætte kryds ved ja uden et bevis ved siden af · krydset falder, første gang nogen spørger.
- At bruge en tjekliste som kriterium · kriteriet står i politik, rammeværk eller lov.
- At lade listen bestemme, hvad der ikke ses på · det uventede skal også kunne skrives ned.
Det skal auditten kunne vise
- ☐ Hvilket kriterium hvert punkt på listen bygger på.
- ☐ Bevis bag hvert ja: dokument, udtræk, interview eller stikprøve.
- ☐ Fund uden for listen, og hvordan de er håndteret.
- ☐ Hvem der har besvaret listen, og om de har ansvar for området.
Kilder
- Dansk Standard, Internal audit, ISO 19011, https://www.ds.dk/en/about-standards/management-systems/iso-19011-internal-audit, læst 12. november 2026.
- Sikkerdigital.dk, Audit og måling, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
- D-mærket, Proces, https://d-maerket.dk/da/bliv-d-maerket/proces, læst 12. november 2026.
- Dansk Standard og Alexandra Instituttet, SMV anvendelsesguide for risikostyring i forhold til cyber- og informationssikkerhed, https://www.ds.dk/media/3afniz52/smv-anvendelsesguide-for-risikostyring-ift-cyber-og-informationssikkerhed.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad tæller som bevis · Hvad en sikkerhedsaudit ikke kan
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
