Revisor har ikke sagt noget: så er sikkerheden vel i orden?

Revisionen er overstået, påtegningen er uden forbehold, og revisor har ikke nævnt IT-sikkerhed med et ord. For en ledelse kan det være en beroligende tanke, at en uafhængig fagperson har set virksomheden igennem uden at finde grund til bekymring. Men revisorens tavshed om IT-sikkerhed er ikke en udtalelse om den. Revisionen af årsregnskabet har et bestemt formål, og en vurdering af, om virksomhedens systemer kan modstå et angreb, ligger normalt uden for det. Det er nyttigt for ledelsen at kende grænsen, så revisionen ikke kommer til at bære en tryghed, den ikke er bygget til.

Hvad revisionen skal svare på

Revisionen af årsregnskabet handler om regnskabet. Erhvervsstyrelsens vejledning om godkendte revisorers erklæringer beskriver, at revisor i konklusionen skal tage stilling til, om regnskabet giver et retvisende billede, når den anvendte regnskabsmæssige begrebsramme har det formål. Vejledningen skelner også mellem erklæringer med høj grad af sikkerhed og erklæringer med begrænset sikkerhed.

Det betyder, at konklusionen er knyttet til et bestemt emne: regnskabet for en bestemt periode. Revisor kan godt se på IT-systemer undervejs, fordi tallene i regnskabet kommer fra dem. Men interessen gælder, om tallene er pålidelige, ikke om en udefrakommende kan skaffe sig adgang til kundedata eller lægge driften ned.

Hvorfor tavshed ikke er en godkendelse

Når revisor ikke nævner IT-sikkerhed, kan der være flere forklaringer, og ingen af dem er en vurdering af, at sikkerheden er god nok.

Det lå uden for opgaven · revisionen var ikke tilrettelagt til at vurdere modstandskraften mod angreb.
Det havde ikke betydning for regnskabet · en svaghed, der ikke påvirker tallene, giver ikke anledning til bemærkninger om regnskabet.
Det blev nævnt et andet sted · en bemærkning kan stå i et revisionsprotokollat eller et brev til ledelsen frem for i påtegningen.
Det blev ikke undersøgt · revisor afprøver ikke systemerne, som en sikkerhedstester gør.

Ledelsen kan derfor ikke slutte fra en ren påtegning til et sikkert IT-miljø. Det er to forskellige spørgsmål, besvaret af to forskellige fagområder. → Hvad testen kan svare på

Hvad revisor alligevel kan bidrage med

Revisor er stadig en værdifuld kilde for ledelsen, når det gælder IT. Revisionen kan vise svagheder i adgangsstyring eller i kontrollerne omkring økonomisystemet, fordi de påvirker regnskabets pålidelighed. Sådanne iagttagelser er relevante for sikkerheden, også selv om de er skrevet med regnskabet for øje.

Ledelsen kan bede revisor om at sige tydeligt, hvad der er set på, og hvad der ikke er. Et åbent spørgsmål som hvilke dele af vores IT har I kigget på, og hvilke har I ikke kigget på, giver et mere præcist billede end tavsheden. Svaret kan bruges til at se, hvor der er huller, som andre skal dække. Hvordan revisor spørger til test, og hvad en rapport kan vise, er beskrevet på penetrationtest.dk.

Hvor sikkerhedstesten kommer ind

En sikkerhedstest afprøver det, revisionen ikke afprøver: om udvalgte systemer kan modstå et forsøg på at misbruge dem. Den giver ikke en konklusion om regnskabet, og revisionen giver ikke en konklusion om modstandskraften. De to kan bruges side om side.

For ledelsen er det mest nyttige at placere ansvaret for hvert spørgsmål:

Regnskabets pålidelighed · revisionen, med de iagttagelser revisor gør om IT-kontroller.
Systemernes modstandskraft · sikkerhedstest af de systemer, ledelsen har udpeget som vigtigst.
Helheden og prioriteringen · ledelsen selv, med input fra begge.

Den tredje opgave kan ikke overlades til hverken revisor eller tester. Ledelsen skal samle billedet og beslutte, hvad der skal ske. → Intern kontrol og sikkerhedstest

Når revisor faktisk nævner IT

Det modsatte tilfælde fortjener også opmærksomhed. Hvis revisor skriver en bemærkning om IT, for eksempel om brugere med for vide rettigheder i økonomisystemet eller manglende kontrol med ændringer, er det et signal, ledelsen bør tage alvorligt, selv om bemærkningen ikke har ført til et forbehold i påtegningen.

En sådan bemærkning kan være toppen af noget større. Den er skrevet ud fra regnskabets behov og kan derfor pege på et mønster, der også gælder systemer, revisor ikke har set på. Ledelsen kan med fordel spørge sig selv tre ting:

Gælder det samme andre steder? · hvis rettighederne er for vide i ét system, kan de være det i flere.
Hvem ejer rettelsen? · bemærkningen skal have en ansvarlig og en frist som andre fund.
Skal det afprøves? · en sikkerhedstest kan vise, om svagheden kan udnyttes, og om den findes andre steder.

Bemærkningen er altså ikke kun et regnskabsanliggende. Den kan være en god anledning til at bestille den afprøvning, ingen hidtil har bedt om. → Bliver fundene rettet?

Et tænkt eksempel

En familieejet producent af emballage har i mange år fået blanke påtegninger. Ved et bestyrelsesmøde spørger et medlem, hvornår virksomhedens IT-sikkerhed sidst blev vurderet. Direktøren henviser til revisionen, som ikke har givet anledning til bemærkninger.

Formanden beder om, at revisor ved næste møde fortæller, hvad revisionen har omfattet på IT-området. Revisor forklarer, at gennemgangen har handlet om adgangen til økonomisystemet og om de kontroller, der sikrer regnskabstallene. Produktionsstyringen, kundeportalen og fjernadgangen for teknikerne har ikke været en del af opgaven. Bestyrelsen beder derefter direktionen om et oplæg til en sikkerhedstest af netop de områder, og revisors iagttagelser om adgangsstyring tages med som baggrund. → Bestyrelsen beder om en test

Det skal I lade være med

At læse en ren påtegning som en sikkerhedsvurdering · påtegningen handler om regnskabet.
At gå ud fra, at revisor har set alt · spørg, hvad der er set på, og hvad der ikke er.
At overse bemærkninger uden for påtegningen · læs også protokollat og breve til ledelsen.
At bede revisor om en konklusion, opgaven ikke rummer · aftal en særskilt opgave, hvis der er brug for den.
At lade revisionen og testen leve hver for sig · brug iagttagelserne fra begge i samme prioritering.

Hvad kan og ikke kan konkluderes

En revisionspåtegning uden forbehold siger noget om regnskabet for den periode, den dækker. Den kan ikke bruges som dokumentation for, at virksomhedens systemer er sikre mod angreb, og revisorens tavshed om IT-sikkerhed er ikke en godkendelse. Omvendt kan en sikkerhedstest ikke erstatte revisionen. Hvad der i en konkret sag ligger i revisors opgave, afklares med revisor. → Har vi gjort nok?

Tjekliste efter revisionen

☐ Har ledelsen spurgt revisor, hvilke dele af IT der er set på?
☐ Er bemærkninger i protokollat og breve til ledelsen læst og fulgt op?
☐ Er det klart, hvilke vigtige systemer revisionen ikke har omfattet?
☐ Er der en plan for at afprøve de systemer, revisionen ikke dækker?
☐ Indgår revisors iagttagelser og testens fund i samme prioritering?

Kilder

Erhvervsstyrelsen, Vejledning om godkendte revisorers erklæringer: revisors konklusion om regnskabets retvisende billede, når begrebsrammen har det formål; skelnen mellem erklæringer med høj grad af sikkerhed og begrænset sikkerhed.

Senest gennemgået: oktober 2026.