I virksomheder med et revisionsudvalg opstår spørgsmålet, om udvalget skal have en rolle, når der testes, og hvad den i givet fald skal være. Svaret afhænger af, hvorfor virksomheden har udvalget, og hvilke opgaver bestyrelsen har givet det. Det hviler på en enkel skelnen: lovens krav til et revisionsudvalg handler om regnskab og revision, mens tilsynet med sikkerheden i bred forstand er hele bestyrelsens ansvar, som den kan vælge at lade udvalget forberede.
Hvad loven siger
Revisorloven kræver i § 31, stk. 1, at virksomheder af interesse for offentligheden etablerer et revisionsudvalg, med visse undtagelser. Efter definitionen i lovens § 1 a, nr. 3, er det virksomheder med værdipapirer optaget til handel på et reguleret marked i EU eller et land, EU har aftale med på det finansielle område, samt pengeinstitutter, realkreditinstitutter og forsikringsselskaber. Efter § 31, stk. 3, skal udvalgets opgaver mindst omfatte en række punkter, herunder at overvåge, om virksomhedens interne kvalitetskontrol- og risikostyringssystemer fungerer effektivt med hensyn til regnskabsaflæggelsen. Loven giver i stk. 5 og 6 mulighed for, at hele bestyrelsen i visse tilfælde varetager udvalgets funktioner.
Lovens opgaveliste nævner ikke IT-sikkerhed, og den knytter risikostyringen til regnskabsaflæggelsen. Systemer, der understøtter regnskabet, kan derfor være relevante for udvalget, mens sikkerheden i andre systemer ikke umiddelbart er omfattet. Teksten er ikke juridisk rådgivning, og om en virksomhed er omfattet, bør afklares med revisor eller en jurist.
Frivillige revisionsudvalg
Nogle virksomheder har et revisionsudvalg uden at være forpligtet til det. Her er det bestyrelsen, der fastsætter udvalgets opgaver, fx i et kommissorium. Det giver frihed til at lade udvalget forberede bestyrelsens behandling af risici, herunder sikkerhed, men det kræver, at opgaven er skrevet ned. Ellers ved hverken udvalget eller direktionen, hvem der skal have resultatet. Kommissoriet bør også sige, om udvalget må tale direkte med testeren og IT-leverandøren, eller om kontakten skal gå gennem direktionen.
Hvis bestyrelsen vælger at lægge sikkerhedstesten hos udvalget, bør kommissoriet sige, om udvalget skal forberede sagen for bestyrelsen, eller om det selv kan træffe beslutninger. Det første er som udgangspunkt mest naturligt, fordi ansvaret ligger hos hele bestyrelsen. → Direktionens og bestyrelsens roller
Hvad udvalget kan bidrage med
Et revisionsudvalg er vant til at arbejde med kontroller, dokumentation og uafhængige vurderinger. I et lovpligtigt udvalg skal mindst ét medlem efter § 31, stk. 1, have kvalifikationer inden for regnskabsvæsen eller revision, og udvalget er vant til at følge op på revisors bemærkninger. Det er netop den type arbejde, en sikkerhedstest er en del af. Udvalget kan fx:
- Se testen i sammenhæng med kontrolmiljøet · hvilke kontroller testen siger noget om, og hvilke den ikke berører. → Sikkerhedstest og intern kontrol
- Afstemme med revisionens arbejde · så testen og revisionen supplerer hinanden og ikke dækker det samme.
- Følge op på rettelser · med samme metode som ved revisionens bemærkninger.
- Forberede bestyrelsens behandling · så bestyrelsen får et kort og præcist oplæg.
Udvalget kan også hjælpe med at vurdere, om testen er uafhængig af dem, der driver systemerne. Det er et spørgsmål, udvalget kender fra revisionen. Hvis den, der tester, også har opsat eller driver de systemer, der testes, bør udvalget spørge, hvordan uafhængigheden er sikret, og om det er beskrevet i aftalen. → Tre forsvarslinjer
Udvalget fritager ikke bestyrelsen
Et udvalg forbereder, men det overtager ikke bestyrelsens ansvar. Det britiske NCSC skriver i sin vejledning til bestyrelser, at det er afgørende, at formanden for revisions- eller risikoudvalget kommunikerer organisationens risici klart til bestyrelsen, så den forstår, hvad en hændelse kan betyde for strategien. Det gælder også for resultatet af en sikkerhedstest.
Bestyrelsen bør derfor aftale, hvordan udvalget rapporterer tilbage: hvad der skal med, hvornår, og hvilke beslutninger der skal træffes af hele bestyrelsen. Ellers kan sikkerheden blive et emne, som kun udvalgets medlemmer kender. Det er særligt vigtigt, når et fund kræver penge eller ændringer i forretningen, som udvalget ikke selv kan beslutte. → Bestyrelsens tilsyn med opfølgningen
Når revisor nævner sikkerheden
Revisor kan i forbindelse med revisionen pege på IT-kontroller eller sikkerhedsforhold, der har betydning for regnskabet. Det kan være en anledning til at overveje en sikkerhedstest. Men revisors bemærkninger dækker det, der er relevant for revisionen, og en manglende bemærkning er ikke en bekræftelse af, at sikkerheden er i orden.
Udvalget kan med fordel spørge revisor, hvad revisionen har set på, og hvad den ikke har set på. Svaret kan bruges til at afgrænse testen, så den dækker det, revisionen ikke gør. Omvendt kan resultatet af en test være nyttigt for revisor, hvis det viser svagheder i systemer, der understøtter regnskabet. Hvem der må se rapporten, bør dog afklares, før den deles. → Hvem skal kende resultatet? → Revisor har ikke sagt noget
Et tænkt eksempel
En børsnoteret virksomhed har et lovpligtigt revisionsudvalg. Bestyrelsen beslutter, at udvalget også skal forberede behandlingen af sikkerhedstests, og skriver det ind i kommissoriet. Efter en test af økonomisystemet og fjernadgangen gennemgår udvalget resultatet med IT-chefen og revisor.
Det viser sig, at et af fundene også berører en kontrol, revisor har lagt vægt på. Udvalget beder direktionen om en plan og aftaler med revisor, at rettelsen indgår i næste års revision. Til bestyrelsen sender udvalget et kort oplæg med tre beslutninger. Bestyrelsen godkender planen og noterer, at to fund uden for regnskabsområdet følges af direktionen. Udvalgets formand giver en kort mundtlig status på de følgende bestyrelsesmøder, indtil fundene er lukket.
Det skal I lade være med
- At antage, at loven pålægger udvalget at føre tilsyn med IT-sikkerhed · opgaverne i revisorloven knytter sig til regnskab og revision.
- At lægge sagen i udvalget uden et kommissorium · skriv opgaven ned.
- At lade udvalget beslutte på bestyrelsens vegne · ansvaret er hele bestyrelsens.
- At bruge revisors tavshed som bekræftelse · spørg, hvad revisionen har dækket.
- At glemme tilbagemeldingen til bestyrelsen · aftal form og tidspunkt.
Hvad kan og ikke kan konkluderes
Et revisionsudvalg kan give bestyrelsen et grundigere og mere struktureret grundlag for at føre tilsyn med sikkerhedstesten. Det kan ikke overtage bestyrelsens ansvar, og lovens krav til udvalget dækker ikke sikkerheden i bred forstand. For virksomheder uden revisionsudvalg ligger opgaven hos bestyrelsen eller ejerne selv, og de spørgsmål, der er beskrevet her, kan bruges på samme måde i den samlede bestyrelse.
Tjekliste til revisionsudvalget
- ☐ Ved vi, om udvalget er lovpligtigt eller frivilligt?
- ☐ Står det i kommissoriet, hvilken rolle udvalget har ved sikkerhedstest?
- ☐ Er det afstemt med revisor, hvad revisionen dækker?
- ☐ Er det aftalt, hvordan udvalget rapporterer til bestyrelsen?
- ☐ Træffes de væsentlige beslutninger af hele bestyrelsen?
Kilder
- Revisorloven, LBK nr. 206 af 20/02/2025: § 1 a, nr. 3, om virksomheder af interesse for offentligheden; § 31, stk. 1, om pligt til revisionsudvalg og krav om mindst ét medlem med kvalifikationer inden for regnskabsvæsen eller revision; stk. 3, nr. 3, om overvågning af interne kvalitetskontrol- og risikostyringssystemer med hensyn til regnskabsaflæggelsen; stk. 5 og 6 om varetagelse af funktionerne i det samlede øverste ledelsesorgan.
- NCSC (UK), Cyber Security Toolkit for Boards: afsnittet om rapportering fra revisions- og risikoudvalg; formanden skal kommunikere organisationens risici klart til bestyrelsen.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Tre forsvarslinjer · Hvad bør stå i referatet? · Børsnoterede selskaber
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
