I større organisationer kan ansvaret for risiko blive beskrevet med tre linjer: driften, der ejer risikoen, en funktion, der støtter og udfordrer, og en uafhængig revision. Spørgsmålet er, hvor en sikkerhedstest hører hjemme i det billede. Svaret afhænger mindre af, hvem der udfører testen, end af, hvem der bestiller den, og hvem der modtager resultatet. Testen er mest værdifuld, når den giver et billede, der ikke kun kommer fra dem, der driver systemerne, og når resultatet når frem til ledelsen og bestyrelsen.
Modellen i korte træk
Modellen kendes i Danmark som de tre forsvarslinjer. Den internationale forening for interne revisorer, The Institute of Internal Auditors (IIA), udsendte i 2020 en opdateret udgave under navnet The Three Lines Model. I 2026 erstattede IIA den udgave med en ny udtalelse, et Statement of Position, hvor modellens grundstruktur er uændret. Gengivelsen her bygger på udtalelsen fra 2026.
- Den øverste ledelse · bestyrelsen har efter modellen ansvaret for tilsynet med organisationen og fastlægger blandt andet formål og risikovillighed.
- Første linje · ledelsen og de dele af organisationen, der driver virksomheden, både ud mod kunderne og i baglandet, fx IT. De ejer og håndterer risikoen i det daglige.
- Anden linje · funktioner, der bistår med risikostyring og giver ekspertise, støtte, overvågning og udfordring. IIA nævner cybersikkerhed som et eksempel.
- Tredje linje · den interne revision, som giver en uafhængig og objektiv vurdering og rådgivning om, hvorvidt ledelse og risikostyring er tilstrækkelig og virker.
Ud over de tre linjer nævner IIA eksterne parter, der giver uafhængig bekræftelse, og som kan supplere de interne kilder.
Linjer er roller, ikke afdelinger
En vigtig pointe i IIA’s udtalelse er, at modellen ikke foreskriver en bestemt organisering. Rollerne kan overlappe i praksis, og den samme person kan have opgaver, der berører mere end én linje. Det kræver blot, at det er tydeligt, hvem der gør hvad.
Det er nyttigt at huske for en ledelse, der vil bruge modellen. Det giver ikke mening at diskutere, hvilken afdeling testen tilhører. Det giver mening at spørge, hvilken rolle testen skal udfylde i den konkrete situation. Samme test kan endda tjene flere roller på én gang, hvis det er aftalt fra starten. → Sikkerhedstest og intern kontrol
Hvor testen passer ind
En sikkerhedstest udført af en ekstern tester kan tjene flere formål afhængigt af, hvem der bestiller den.
- Bestilt af første linje · IT eller driften bestiller testen for at finde og rette svagheder i egne systemer. Det er god praksis, men resultatet er driftens eget billede af driften.
- Bestilt af anden linje · sikkerheds- eller risikofunktionen bestiller testen for at efterprøve, at første linje håndterer risikoen som aftalt. Det giver et mere uafhængigt billede.
- Bestilt eller brugt af tredje linje · den interne revision bruger testen som en del af sit grundlag for at vurdere kontrolmiljøet, eller beder om en test på et område, den finder svagt.
Ingen af de tre er forkerte. Ledelsen bør dog vide, hvilken af dem den har med at gøre, når den læser resultatet. En test, som IT selv har bestilt, afgrænset og præsenteret, er værdifuld, men den er ikke det samme som en uafhængig kontrol.
Når anden eller tredje linje bestiller testen, skal første linje stadig inddrages. IT og driftsleverandøren kender systemerne, skal hjælpe med det praktiske og skal rette fundene bagefter. Uafhængigheden ligger ikke i at holde driften udenfor, men i, hvem der beslutter omfanget og modtager resultatet uredigeret. En god aftale gør det klart for alle parter, så testen ikke opleves som en kontrol bag ryggen på dem, der skal bruge den. → Et uafhængigt blik
Hvem modtager resultatet
Modellen lægger vægt på, at information når op til den øverste ledelse. For sikkerhedstesten betyder det, at resultatet ikke bør stoppe hos den, der har bestilt det.
- Direktionen · skal kende de væsentlige fund og den plan, der følger af dem.
- Anden linje · skal vide, hvad der er fundet, så funktionen kan følge op og udfordre.
- Den interne revision · bør have adgang til resultatet, når den vurderer området.
- Bestyrelsen eller revisionsudvalget · skal have et samlet billede og vide, om opfølgningen sker. → Revisionsudvalget
Hvem der ejer testen i ledelsen, er beskrevet særskilt. → Ejeren af sikkerhedstesten
Når organisationen er for lille til tre linjer
IIA skriver, at modellens principper gælder for alle organisationer, men at behovet for adskilte roller afhænger af risiciene. Nogle virksomheder har hverken en sikkerhedsfunktion eller en intern revision. Tankegangen kan stadig bruges. Spørgsmålet er blot, hvem der i praksis udfylder de tre roller.
I en mellemstor virksomhed kan driftsleverandøren og IT-chefen være første linje, en økonomidirektør med ansvar for risiko være anden, og bestyrelsen sammen med en ekstern test udfylde noget af det, revisionen ellers ville. Det vigtige er at undgå, at samme person både driver, kontrollerer og rapporterer om sig selv. → Direktion og bestyrelse
Et tænkt eksempel
Et regionalt energiselskab har en IT-afdeling, en risikofunktion og en intern revision. IT bestiller hvert år en test af kundeportalen og retter fundene. Revisionsudvalget spørger, hvem der kontrollerer, at testen dækker det rigtige.
Det aftales, at risikofunktionen fremover godkender testens omfang og modtager rapporten direkte fra testeren, samtidig med IT. Den interne revision får adgang til rapporten og bruger den i sin årlige vurdering af IT-området. IT bestiller stadig sine egne test af nye systemer. Ingen har fået mere arbejde af betydning, men bestyrelsen ved nu, hvilken rolle hver test spiller.
Det skal I lade være med
- At bruge modellen som et organisationsdiagram · linjerne er roller, ikke afdelinger.
- At lade første linje være eneste afsender af resultatet · så mister ledelsen det uafhængige billede.
- At tro, at en ekstern tester gør testen uafhængig i sig selv · det afhænger også af, hvem der afgrænser og rapporterer.
- At holde den interne revision udenfor · den har brug for resultatet.
- At indføre modellen i en lille virksomhed for formens skyld · brug tankegangen, ikke strukturen.
Hvad kan og ikke kan konkluderes
Modellen kan hjælpe ledelsen med at se, hvilken rolle en sikkerhedstest spiller, og om resultatet når de rigtige modtagere. Den siger ikke, hvordan en virksomhed skal organisere sig, og den gør ikke en test mere eller mindre grundig. Ledelsen må selv afgøre, hvordan rollerne skal fordeles i dens organisation. Modellen er heller ikke et krav i sig selv, men en hjælp til at tænke klart om ansvar, kontrol og uafhængighed.
Tjekliste: testen i de tre linjer
- ☐ Ved ledelsen, hvem der har bestilt og afgrænset testen?
- ☐ Når resultatet frem til anden linje og den interne revision, hvor de findes?
- ☐ Får bestyrelsen eller revisionsudvalget et samlet billede?
- ☐ Er det undgået, at samme person driver, kontrollerer og rapporterer?
Kilder
- The Institute of Internal Auditors, Three Lines Model: Assurance and Advice in Support of Effective Governance (Statement of Position, 2026): bestyrelsen fastlægger formål og risikovillighed; første linje er ledelsen, der ejer risikoen i det daglige, og omfatter også funktioner i baglandet; anden linje giver specialiststøtte, rådgivning, overvågning og udfordring, fx inden for cybersikkerhed; tredje linje er den interne revision med uafhængig og objektiv sikkerhed; eksterne parter, der giver sikkerhed; modellen foreskriver ikke en bestemt organisering, roller kan overlappe, og principperne gælder for alle organisationer; information til bestyrelsen skal være pålidelig og afbalanceret. Udtalelsen erstatter IIA’s Position Paper fra 2020.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Hvem i ledelsen skal eje sikkerhedstesten? · Et uafhængigt blik
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
