Økonomidirektøren og sikkerhedstesten

I nogle virksomheder hører IT under økonomidirektøren, og selv hvor det ikke gør, er det økonomifunktionen, der lægger budgettet, holder øje med den interne kontrol og tegner forsikringerne. Det gør økonomidirektøren til en naturlig medspiller, når virksomheden skal teste sin sikkerhed. Rollen hviler på fire opgaver, som økonomifunktionen i forvejen har: at fordele pengene, at kontrollere, at det besluttede bliver gjort, at håndtere risici gennem forsikring og at beskytte virksomhedens betalinger.

Ingen af opgaverne kræver teknisk viden. De kræver, at økonomidirektøren ser sikkerhedstesten som en del af det, økonomifunktionen allerede har ansvaret for.

Rollen er ikke den samme i alle virksomheder. Hvor IT hører under økonomi, kan økonomidirektøren også være den naturlige ejer af testen i ledelsen. Hvor IT har sin egen direktør, er økonomidirektørens rolle snarere at være den, der stiller de kritiske spørgsmål om penge, kontrol og forsikring. Begge roller er værdifulde, men de bør ikke blandes sammen, og det bør stå klart for resten af ledelsen, hvilken af dem økonomidirektøren har.

Budgettet: mere end en linje til testen

Økonomidirektøren kan være den, der først ser IT’s ønske om en sikkerhedstest. Det giver en mulighed for at stille spørgsmål, før beløbet kommer på budgettet: hvad skal testen vise, og er der også penge til at rette det, den finder?

Økonomifunktionen kan også sørge for, at testen ikke bliver en ny forhandling hvert år. En fast post eller en flerårig plan gør udgiften forudsigelig og mindsker risikoen for, at testen bliver skåret væk, når budgettet strammes. → Sådan budgetterer ledelsen med sikkerhedstest

Endelig kan økonomidirektøren holde øje med, at udgifterne til rettelser bliver sammenholdt med testens fund. Et tilbud fra en leverandør, der ikke kan føres tilbage til rapporten, bør give anledning til spørgsmål. Det samme gælder, hvis udgifterne til rettelser vokser fra år til år, uden at nogen kan forklare hvorfor. → Leverandørens tilbud på rettelser

Kontrollen: samme logik som i regnskabet

Økonomifunktionen kender princippet om, at den, der udfører en opgave, ikke også skal kontrollere den. Det princip passer godt på sikkerhedstesten. Den, der driver systemerne, bør ikke være den eneste, der vurderer, om de er sikre, og den, der retter, bør ikke være den eneste, der bekræfter, at rettelsen virker.

Økonomidirektøren kan bruge den samme tankegang, når testens resultater skal følges op. Det kan være økonomifunktionen, der fører en simpel oversigt over fund, ejere og frister, og som spørger, når en frist overskrides. Det kræver ingen teknisk indsigt, kun den disciplin, økonomifunktionen allerede har. Revisor kan kende til økonomifunktionens kontroller og kan være en nyttig samtalepartner om, hvordan opfølgningen kan dokumenteres, uden at revisionen dermed bliver en vurdering af sikkerheden. → Sikkerhedstest og intern kontrol

Forsikringen: hvad står der i skemaet?

Nogle virksomheder har eller overvejer en cyberforsikring, og det kan være økonomidirektøren, der står for den. Forsikringsselskabet kan stille spørgsmål om virksomhedens sikkerhed, og nogle af dem kan handle om test.

Økonomidirektøren bør sikre, at svarene i skemaet passer med virkeligheden, og at nogen kan dokumentere dem. Hvis skemaet spørger, om virksomheden tester sin sikkerhed, skal svaret kunne understøttes af en rapport og af en opfølgning. Et svar, der ikke holder, kan få betydning, hvis der senere skal anmeldes en skade. Hvad det konkret betyder, afhænger af policen. Det er også værd at spørge forsikringsmægleren, om resultatet af en test skal meddeles selskabet, og hvordan ændringer i virksomhedens sikkerhed i løbet af forsikringsperioden skal håndteres. → Ledelsen underskriver forsikringsskemaet

Betalingerne: økonomifunktionen er selv et mål

Økonomifunktionen er ikke kun en medspiller. Den er også et sted, hvor virksomheden er særlig udsat. Medarbejdere, der kan godkende betalinger eller ændre kontonumre, er attraktive for den, der vil snyde virksomheden.

Den britiske myndighed NCSC beskriver i sin vejledning om phishing, hvordan angreb kan målrettes personer i ledelsen med adgang til værdifulde aktiver, og anbefaler blandt andet, at vigtige anmodninger, der kommer på mail, bekræftes gennem en anden kommunikationskanal, og at medarbejderne kender de normale arbejdsgange for opgaver som betalinger.

For økonomidirektøren betyder det to ting. Godkendelsesgangen for betalinger og ændringer af leverandørers kontooplysninger bør være beskrevet og kendt. Og når virksomheden overvejer, hvad der skal testes, kan det være relevant at se på netop de processer og konti, som økonomifunktionen bruger. En test, der også ser på menneskelige forhold, er et særligt valg, som ledelsen skal tage stilling til. → Penetrationstest eller angrebssimulering

Risikoregistret og bestyrelsen

I nogle virksomheder fører økonomifunktionen også risikoregistret og forbereder rapporteringen til bestyrelsen eller revisionsudvalget. Sikkerhedstestens resultater hører hjemme i det materiale, oversat til forretningsrisiko og ikke som teknisk liste. Økonomidirektøren er vant til at forklare usikkerhed i tal og budgetter for en bestyrelse og kan bruge samme form her: hvad kan ramme virksomheden, hvad er gjort, og hvad står tilbage.

Økonomidirektøren kan sørge for, at alvorlige fund, der ikke rettes med det samme, bliver skrevet ind som risici med en ejer og en begrundelse, og at bestyrelsen ser dem. → Sikkerhedsrisiko i virksomhedens risikoregister

Et tænkt eksempel

Økonomidirektøren i en grossist i byggematerialer har ansvaret for IT, men ingen teknisk baggrund. Forsikringsselskabet sender et nyt skema med spørgsmål om sikkerhedstest, og samtidig beder IT-medarbejderen om penge til en test.

Økonomidirektøren kobler de to. Testen godkendes med et formål, der også dækker de systemer, der bruges til betalinger og fakturering, og med penge til rettelser. Økonomifunktionen fører oversigten over fundene og rapporterer status til direktionen ved hvert månedsmøde, indtil de alvorlige fund er lukket. Forsikringsskemaet udfyldes, når testen og den første opfølgning er gennemført, så svarene kan dokumenteres.

Det skal I lade være med

At se testen som en ren IT-udgift · den hænger sammen med kontrol, forsikring og betalinger.
At godkende testen uden penge til rettelser · så bliver resultatet en liste uden handling.
At svare på forsikringsskemaet ud fra hukommelsen · svarene skal kunne dokumenteres.
At overse økonomifunktionen selv · betalingsprocesserne er et oplagt mål.
At lade fundene forsvinde fra risikoregistret · det, der ikke rettes, skal stå et sted.

Hvad kan og ikke kan konkluderes

Økonomidirektøren kan gøre meget for, at sikkerhedstesten bliver budgetteret, fulgt op og knyttet til forsikring og risikostyring. Den rolle erstatter ikke en teknisk vurdering af fundene, og den gør ikke økonomidirektøren ansvarlig for sikkerheden alene. Ansvaret ligger fortsat hos den samlede ledelse.

Tjekliste for økonomidirektøren

☐ Står både test og rettelser i budgettet?
☐ Fører nogen uden for IT en oversigt over fund, ejere og frister?
☐ Kan svarene i forsikringsskemaet dokumenteres?
☐ Er godkendelsesgangen for betalinger beskrevet og kendt?
☐ Er alvorlige fund, der ikke rettes, skrevet ind i risikoregistret?

Kilder

NCSC, Phishing attacks: defending your organisation: målrettede angreb mod personer i ledelsen med adgang til værdifulde aktiver; bekræftelse af vigtige anmodninger gennem en anden kommunikationskanal; kendskab til de normale arbejdsgange for betalinger.

Senest gennemgået: oktober 2026.