Er I uenige i et fund, skal det frem, mens rapporten stadig er foreløbig. Høringen er stedet, hvor fejl i fakta rettes, og hvor misforståelser om, hvordan jeres praksis er tolket, bliver afklaret. Et reelt fund forsvinder dog ikke, fordi det er ubehageligt, og det er det, der giver rapporten værdi for andre end jer selv.
Artiklen beskriver en metode, der virker for begge parter. Grundlaget er NIST’s beskrivelse af rapportering og de internationale standarder for intern revision.
Den foreløbige rapport er til for at blive rettet
God praksis efter NIST er, at virksomheden først får en foreløbig rapport. Formålet er todelt. I kan rette svagheder, der hurtigt kan rettes, og I kan rette eller afklare misforståelser og fortolkninger, før rapporten bliver endelig. Kontroller, der ændres i perioden, bør vurderes igen, inden den endelige udgave udsendes.
Høringen er altså en indbygget del af forløbet. Spørg allerede i tilbuddet, hvor lang høringsperioden er, og hvem der modtager rapporten først. Forløbet er beskrevet i forløbet i en sikkerhedsaudit.
Find ud af, hvad I egentlig er uenige om
Et fund består af et kriterium, en tilstand, en årsag og en virkning. Uenigheden kan placeres i en af fire ting, og det hjælper at sige hvilken.
Kriteriet. Måler fundet mod det, der var aftalt? Er der brugt et krav, som ikke var en del af opdraget, eller er en anbefaling læst som et krav?
Beviset. Har auditor set det rigtige materiale? Måske findes der en procedure eller et udtræk, som ikke nåede frem. Så er løsningen at aflevere det.
Tolkningen. Har auditor forstået praksis rigtigt? Her hjælper en kort beskrivelse af, hvordan arbejdet faktisk foregår, gerne med et eksempel, der kan efterprøves.
Vurderingen. Er alvoren sat for højt eller for lavt? Det er den sværeste type uenighed. Den kræver argumenter om sandsynlighed og konsekvens.
NIST beskriver fund som faktuelle gengivelser, der viser afvigelsen fra det forventede, og derfor kan uenigheden føres tilbage til en af de fire. Skalaen for fund er forklaret i opfyldt, delvist opfyldt, ikke opfyldt.
Skriv kommentaren, så den kan bruges
En god kommentar til et fund er kort og konkret. Den angiver fundets nummer, hvad I mener er forkert, og hvilket bevis der understøtter det. Lægger I nyt materiale ved, skal det have dato og kilde, så auditor kan vurdere det på samme måde som resten.
Undgå kommentarer om tonen i rapporten eller om, at fundet vil se dårligt ud over for bestyrelsen. De ændrer intet, og de svækker de kommentarer, der handler om fakta.
Har I rettet forholdet i høringsperioden, så skriv det. Auditor kan vurdere ændringen, og rapporten kan nævne, at handlingen er sat i gang. Standarderne for intern revision anbefaler, at handlinger, ledelsen allerede har sat i gang, bliver anerkendt i rapporten.
Når I stadig er uenige
Standarderne for intern revision beskriver, at parterne ved uenighed skal forsøge at nå en fælles forståelse. Revisor er ikke forpligtet til at ændre resultatet uden en gyldig grund, men begge parters synspunkter skal kunne komme frem. For anbefalinger gælder det samme. Der bruges en fastlagt metode, så begge kan forklare deres holdning.
I praksis betyder det, at jeres synspunkt kan stå i rapporten ved siden af fundet, fx i et bilag. Det er en fordel for jer. En læser, fx bestyrelsen, kan se både fundet og jeres begrundelse og selv tage stilling.
Det modsatte, at et fund fjernes, fordi I har presset på, gør rapporten svagere. En bestyrelse eller en kunde, der senere finder ud af det, vil spørge, hvad der ellers er taget ud. Den, der modtager en rapport om en leverandør og vil vide, hvordan uenighed er håndteret, finder mere om rapporter om leverandører.
Hold også øje med det modsatte. Er et fund for mildt, fordi auditor har misforstået noget til jeres fordel, bør I sige det. Rapporten skal kunne bruges over for andre, og en fejl i jeres favør bliver opdaget før eller siden. Det styrker jeres troværdighed at rette i begge retninger.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at én person samler kommentarerne og holder dem faktuelle og underbygget. Det kræver også, at fagfolkene læser deres egne afsnit grundigt i høringsperioden.
Springer I høringen over, ender fejl i den endelige rapport. Bruger I den til at presse fund væk, mister rapporten sin troværdighed. Begge dele gør den mindre brugbar over for dem, I skal vise den til.
Det skal I lade være med
- At vente med uenighed til rapporten er endelig · så er det for sent at rette.
- At kommentere uden bevis · auditor kan kun ændre et fund på grundlag af materiale.
- At forhandle om alvoren for at pynte på rapporten · det svækker hele dokumentet.
Det skal auditten kunne vise
- ☐ En foreløbig rapport og en aftalt høringsperiode.
- ☐ Jeres kommentarer pr. fund med henvisning til bevis.
- ☐ Hvilke fund der er ændret, og hvorfor.
- ☐ Jeres synspunkt, hvor uenigheden består.
- ☐ Handlinger sat i gang i høringsperioden.
Kilder
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 13.1, 14.2 til 14.4 og 15.1, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Aftal med auditor, hvor lang høringen er, og hvem hos jer der samler kommentarerne.
Læs også: NIS2-auditrapporten · Aflevering af bevis
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
