En uvildig auditor har ingen interesse i, hvad auditten finder. Det betyder, at auditor ikke har bygget det, der vurderes, ikke skal sælge løsningerne bagefter og ikke har aftaler, der belønner bestemte anbefalinger. Det kan prøves med en håndfuld spørgsmål, før I vælger.
Uafhængigheden står i selve definitionen af en audit, og uden den er rapporten en vurdering fra en part med egne interesser. Artiklen gennemgår, hvor kravet kommer fra, og hvordan I selv tester det.
Hvor kravet kommer fra
I den internationale definition, der står i NIST’s ordliste, er en audit en proces, der både er systematisk, dokumenteret og uafhængig. Uafhængigheden er altså en del af, hvad ordet betyder.
Andre fagområder har gjort kravet konkret. Revisorer, der afgiver erklæringer efter den internationale standard ISAE 3000, skal være underlagt etiske regler om bl.a. uafhængighed. Interne revisionsfunktioner arbejder efter IIA’s standarder, hvor to af principperne handler om at bevare objektiviteten og om at være placeret uafhængigt i organisationen. DANAK skriver, at tilliden ved akkreditering bygger på, at kravene bedømmes af en kompetent og uvildig organisation.
En sikkerhedsaudit uden for de områder er ikke reguleret på samme måde. Ingen regel forhindrer en leverandør i at auditere sig selv for en virksomhed, der ikke er underlagt særlige krav. Derfor må I selv stille spørgsmålene.
Uvildig og uafhængig er to sider af samme sag
Uafhængig handler om forhold, der kan ses udefra: ejerskab, aftaler, tidligere opgaver. Uvildig handler om holdningen: at vurdere sagligt uden at lade sig påvirke. Den ene kan dokumenteres, den anden må I slutte jer til. Sammen giver de en auditor, hvis fund I kan stole på.
Spørgsmålene, der afslører en interessekonflikt
Spørgsmålene her er praksis og ikke en regel. De kan stilles til enhver auditor, før opgaven aftales.
Skal I sælge noget til os bagefter? Hvis auditoren også leverer firewalls, licenser, drift eller overvågning, kan et fund blive til en ordre. Det betyder ikke, at fundet er forkert, men I kan ikke vide det.
Har I forhandleraftaler eller provision fra producenter? En auditor med en aftale med en producent har en grund til at anbefale netop dennes produkter. Spørg direkte, og bed om at få svaret skriftligt.
Har I selv været med til at bygge det, der skal vurderes? En rådgiver, der har skrevet jeres politikker eller sat jeres systemer op, vurderer sit eget arbejde. Det problem er beskrevet for NIS2-området i rådgiveren auditerer eget arbejde.
Har I en anden opgave hos os nu eller for nylig? En løbende driftsaftale eller et projekt kan gøre det svært at skrive kritiske fund om de samme folk.
Hvem ejer jer, og hvem ejer I? Et ejerskab i en IT-leverandør eller et softwarehus skaber samme binding som en forhandleraftale.
Når svaret er ja
Et ja betyder ikke, at auditten er værdiløs. Den kan bruges til jeres egen orientering. Men den bør ikke stå alene, når resultatet skal vises til en bestyrelse, en kunde eller et tilsyn. Hvis IT-leverandøren selv tilbyder at vurdere sin drift, er situationen beskrevet i når IT-leverandøren vurderer sin egen drift.
Det er også muligt at begrænse problemet. En auditor, der har bygget ét område, kan gennemgå de andre, mens en anden tager det første. Opdelingen bør stå i opdraget.
Uafhængighed i rapporten
En uvildig rapport kan kendes på, at den skriver fund og anbefalinger uden at pege på bestemte produkter eller leverandører, at den nævner begrænsninger i auditten, og at den skriver, hvem der har udført arbejdet. Anbefalinger formuleres som det, der skal opnås, fx at administratorkonti beskyttes med to faktorer. Hvilket produkt der gør det, er jeres valg.
Er auditten en del af en større måling af, hvordan sikkerheden og den interne kontrol modnes over tid, er spørgsmålet om placering og uafhængighed i organisationen behandlet under intern revision og modenhed i større virksomheder. De øvrige kriterier for valget står i valg af auditor.
Hvad det kræver, og hvad det koster at lade være
Det kræver fem spørgsmål i en mail og et skriftligt svar, før I skriver under. Det tager en halv time at læse svarene og lægge dem ved siden af tilbuddet.
Springer I over, kan I få en rapport, hvor fundene peger mod netop de løsninger, auditoren selv leverer. Opdager en bestyrelse eller en kunde det senere, mister rapporten sin værdi, og I må betale for en ny gennemgang.
Det skal I lade være med
- At tage uafhængighed for givet · ingen regel kræver den for de fleste private audits.
- At lade samme part bygge og vurdere · vurderingen gælder så eget arbejde.
- At acceptere anbefalinger med produktnavne uden begrundelse · anbefalingen bør beskrive målet.
Det skal auditten kunne vise
- ☐ Hvem der har udført auditten, og hvilke andre opgaver de har eller har haft hos jer.
- ☐ En skriftlig erklæring fra auditor om forhandleraftaler, provision og ejerskab.
- ☐ Hvilke områder auditor ikke har vurderet på grund af egen tidligere indsats.
- ☐ Anbefalinger formuleret som mål uden produktnavne.
Kilder
- NIST, Computer Security Resource Center, Glossary, “audit”, https://csrc.nist.gov/glossary/term/audit, læst 12. november 2026.
- IAASB, ISAE 3000 (Revised), afsnit 3, https://www.iaasb.org/system/files/publications/files/ISAE%203000%20Revised%20-%20for%20IAASB.pdf, læst 12. november 2026.
- The IIA, Global Internal Audit Standards (2024), https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/, læst 12. november 2026.
- DANAK, Om akkreditering, https://danak.dk/om-akkreditering, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Intern og ekstern audit · Når IT-leverandøren vurderer sin egen drift
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
