En auditor til en sikkerhedsaudit vælges bedst ud fra fem spørgsmål om uafhængighed, faglighed, metode, rapport og referencer. Personlige certificeringer siger noget om den enkelte persons uddannelse, og de kan være et godt tegn, men de godkender hverken auditten, virksomheden bag den eller resultatet.
Hvad er en auditor?
En auditor, eller auditør, er den person, der sammenligner den faktiske tilstand med de aftalte kriterier og skriver resultatet ned. Kriterierne kan være jeres egne politikker, en lov, en kontrakt eller et anerkendt rammeværk. Ordet bruges om både interne medarbejdere og eksterne konsulenter. En IT-auditor er en auditor, der arbejder med IT-systemer og den måde, de styres på.
En auditor er ikke det samme som en godkendt revisor. Revisortitlerne er beskyttet i revisorloven, og den gælder godkendte revisorers erklæringer med sikkerhed. Forskellen mellem en auditrapport og en erklæring er beskrevet i artiklen om auditrapport eller revisors NIS2-erklæring.
Spørgsmål 1. Er auditor uafhængig af det, der undersøges?
Hos NIST er en uafhængig vurderer en person, der kan bedømme upartisk, fordi vedkommende hverken reelt eller tilsyneladende er bundet af at have udviklet, drevet eller ledet systemet. Spørg derfor, om auditor eller auditors firma har leveret, drevet eller rådgivet om det, der skal undersøges, og om der er aftaler med de leverandører, hvis produkter indgår.
Standarderne for intern revision har en regel for interne revisorer. En intern revisor må efter dem ikke bedømme noget, vedkommende selv har stået for inden for et år (12 måneder). Reglen er skrevet til IIA’s egne fagfolk. Spørgsmålet er det samme for en ekstern auditor. Den særlige situation, hvor den rådgiver, der byggede jeres arbejde, også vil auditere det, er beskrevet for sig i må rådgiveren auditere sit eget arbejde.
Spørgsmål 2. Kender auditor jeres område?
Fagligheden handler om, hvorvidt auditor forstår de systemer og processer, der er i omfanget. En audit af en produktionsvirksomhed med styringsanlæg kræver andet kendskab end en audit af et kontor med abonnementsprogrammer. Spørg, hvilke slags miljøer auditor har gennemgået, og hvem i teamet der ser på hvad.
Fylder den tekniske opsætning meget, kan der være brug for en, der specifikt arbejder med tekniske kontrolpunkter og konfiguration.
Spørgsmål 3. Hvordan indsamles beviset?
Bed om metoden på skrift. Ifølge NIST vurderes en kontrol ved at læse og inspicere, ved at spørge og ved at afprøve. Hver kan bruges med forskellig dybde og dækning. Et godt svar fortæller, hvilke metoder der bruges på hvilke områder, og hvor stor en del af systemerne, sagerne og medarbejderne der kommer med.
Spørg også, om auditor bruger stikprøver, og hvordan de vælges. Et svar, der kun nævner samtaler, er et svar om en anden og lettere opgave.
Spørgsmål 4. Hvordan ser en rapport ud?
Bed om en prøve, gerne en anonymiseret rapport eller en skabelon. Standarderne for intern revision beskriver et fund med kriterium, faktisk tilstand, årsag, virkning og prioritet. Se efter, om prøven gør det samme. En rapport, der kun siger “mangler” uden at nævne kriteriet, er svær at handle på.
Se også efter, om rapporten nævner sine egne begrænsninger, dvs. hvad der ikke kunne undersøges, og hvorfor.
Spørgsmål 5. Kan referencerne tale om metoden?
Referencer kan sige noget om samarbejdet og om, hvorvidt rapporten var til at handle på. En auditor, der respekterer fortrolighed, nævner ikke kundenavne i et tilbud. Bed i stedet om at tale med en tidligere kunde, der har givet lov, eller om en beskrivelse af opgaver af samme slags uden navne.
Personlige certificeringer læst rigtigt
Man møder titler som ISO 27001 lead auditor, CISA og CISSP. Det er certificeringer af personer. De siger noget om, hvad personen har læst og bestået. De siger ikke, at auditors firma er godkendt til noget, og de gør ikke en rapport til et certifikat eller en erklæring.
Spørg derfor, hvem i teamet der har hvilken certificering, og hvem der faktisk udfører arbejdet. Kravene for at få de enkelte certificeringer beskrives ikke her. Brug dem som én oplysning blandt flere. Skal auditten indgå i et længere forløb med måling af modenhed over tid, er erfaringen med den slags måling et selvstændigt spørgsmål.
Hvad det kræver, og hvad det koster at lade være
At stille de fem spørgsmål kræver, at I har et opdrag på én side, så auditorerne svarer på det samme. Derefter er det et spørgsmål om at læse svarene ved siden af hinanden og tale med de to eller tre, hvis svar passer bedst til opdraget.
Vælges auditor på navn eller titel alene, risikerer I en rapport, der ikke svarer på jeres spørgsmål, eller en auditor, der står for tæt på det, der undersøges. Det opdager man som regel først, når rapporten skal bruges over for en bestyrelse eller en kunde.
Det skal I lade være med
- At tage en personlig certificering for en godkendelse · den siger noget om personen, og intet om auditten.
- At springe uafhængigheden over · en auditor med egne leverancer i omfanget har en interessekonflikt.
- At vælge uden en rapportprøve · formen afgør, om fundene kan bruges.
Det skal auditten kunne vise
- ☐ En skriftlig erklæring om, at auditor ikke har leveret, drevet eller rådgivet om det, der undersøges.
- ☐ Metode, dybde og dækning for hvert område.
- ☐ Hvem der udførte arbejdet, og hvilken rolle hver havde.
- ☐ Fund med kriterium, faktisk tilstand og prioritet.
Kilder
- NIST, SP 800-53A Revision 5 (januar 2022), kapitel 2 og 3, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53Ar5.pdf, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), standard 2.2 og 14.2-14.3, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
- Lov om godkendte revisorer og revisionsvirksomheder, LBK nr. 206 af 20. februar 2025, § 1 og § 5, https://www.retsinformation.dk/eli/lta/2025/206, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Valg af auditor til en NIS2-audit · Auditaftalen
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
