Revisoren og den eksterne IT‑leder: hvem gør hvad?

Revisoren vurderer, om virksomhedens kontroller er gode nok, og påpeger det, der bør rettes. Den eksterne IT-leder sørger for, at bemærkningerne bliver omsat til handling, og følger op, til de er lukket. De to roller skal holdes adskilt, fordi revisoren ikke kan kontrollere arbejde, som revisoren selv har udført. Ledelsens opgave er at få dem til at arbejde ud fra den samme liste. Det kræver, at revisorens bemærkninger om IT når frem til den eksterne, at der lægges en plan for hver af dem, og at status bliver meldt tilbage, før revisoren kommer igen.

Hvorfor revisoren interesserer sig for IT

Når revisoren reviderer årsregnskabet, skal tallene kunne stoles på. Tallene ligger i økonomisystemer, lønsystemer og ofte i et ERP-system, der binder ordre, lager og fakturering sammen. Revisoren ser derfor på, om der er styr på, hvem der har adgang til systemerne, hvordan ændringer bliver godkendt, og om data kan gendannes. Det kaldes ofte generelle IT-kontroller.

Bemærkningerne ender typisk i revisionsprotokollatet til bestyrelsen eller i et brev til direktionen. Eksempler kan være brugere med for vide rettigheder, tidligere ansatte, der stadig har en konto, eller manglende dokumentation for, hvem der har godkendt en ændring i økonomisystemet.

Bruger virksomheden en driftsleverandør, ser revisoren også på, hvad leverandøren dokumenterer. Mange leverandører får en revisorerklæring på deres egne kontroller, og den skal virksomheden kunne fremlægge og have læst.

Revisoren vurderer, den eksterne retter

Revisorer har regler om uafhængighed, som skal sikre, at de kan bedømme regnskabet uden at have en interesse i resultatet. En af grundtankerne er, at revisor ikke må komme til at revidere sit eget arbejde. Hvis revisoren både designer adgangsstyringen og bagefter vurderer den, er bedømmelsen ikke længere uafhængig. Hvor grænsen præcist går for jeres revisor, er et spørgsmål til revisionsfirmaet.

Den eksterne IT-leder har den modsatte placering. Rollen er at lede IT-arbejdet på virksomhedens vegne, prioritere opgaverne og sikre, at leverandørerne leverer. Når revisoren påpeger et problem, er det den eksterne, der finder løsningen, aftaler den med leverandøren og dokumenterer, at den er gennemført.

Fordelingen kan sammenfattes sådan:

• Revisoren · vurderer kontrollerne, påpeger svagheder og rapporterer til bestyrelse og direktion.
• Den eksterne IT-leder · omsætter bemærkningerne til opgaver, prioriterer dem og følger op.
• Driftsleverandøren · udfører de tekniske ændringer og leverer dokumentation.
• Direktionen · beslutter prioriteringen, når der er konflikt mellem ønsker og ressourcer.

Hvordan ansvaret i øvrigt fordeles mellem den eksterne og leverandøren, står i Ekstern IT-ledelse og jeres IT-leverandør.

Én liste for begge

Det mest almindelige problem er, at revisorens bemærkninger lever deres eget liv. De bliver læst, når protokollatet kommer, og glemt, indtil revisoren kommer igen. Imens arbejder den eksterne IT-leder på en anden liste med sine egne prioriteringer.

Løsningen er at lade revisorens bemærkninger om IT gå direkte ind i den eksterne IT-leders opgaveliste eller risikoliste. Hver bemærkning får en ejer, en plan og en dato. Når revisoren vender tilbage, kan den eksterne vise, hvad der er gjort, og hvad der udestår med en begrundelse.

I en tænkt virksomhed, der producerer emballage og har 40 ansatte, har revisoren to år i træk påpeget, at der ikke er en fast gennemgang af brugerrettigheder i økonomisystemet. Bemærkningen er kommet med i protokollatet begge år, men ingen har haft opgaven. Den eksterne IT-leder kan aftale en kvartalsvis gennemgang med leverandøren, lade økonomichefen godkende listen og gemme dokumentationen. Næste år kan bemærkningen lukkes.

Hvem taler med revisoren

Revisoren arbejder ofte efter en fast tidsplan, og spørgsmål om IT kommer typisk sent i forløbet, når regnskabet skal afsluttes. Har virksomheden ikke svarene klar, trækker revisionen ud. Revisoren har derfor brug for en person, der kan svare på spørgsmål om systemer, adgange og leverandører. I mange mindre virksomheder er det økonomichefen, som også er den, revisoren taler med om regnskabet. Når virksomheden har en ekstern IT-leder, er det naturligt, at vedkommende deltager i de møder, der handler om IT, og forbereder svarene.

Direktionen bør beslutte på forhånd, om den eksterne må tale direkte med revisoren, eller om det sker gennem økonomichefen. Begge dele kan fungere. Det vigtige er, at revisoren ikke får forskellige svar fra forskellige personer, og at den eksterne kender de spørgsmål, revisoren har stillet. Hvad den eksterne må på virksomhedens vegne, hører til mandatet.

Årets gang

Arbejdet med revisoren følger typisk regnskabsåret. En enkel plan kan se sådan ud:

1. Før revisionen · den eksterne gennemgår sidste års bemærkninger og samler dokumentation for, hvad der er gjort.
2. Under revisionen · den eksterne deltager i møderne om IT og svarer på opfølgende spørgsmål.
3. Efter protokollatet · nye bemærkninger bliver lagt ind i opgavelisten med ejer og frist.
4. Løbende · status rapporteres til direktionen sammen med den øvrige rapportering til ledelsen.

Bestyrelsen kan med fordel bede om at se den samlede status på revisorens IT-bemærkninger en gang om året. Det giver et billede af, om IT-arbejdet bevæger sig, og det er let at følge op på. Bestyrelsens rolle er beskrevet i Bestyrelsens rolle, når IT-ledelsen ligger uden for huset.

Det skal I lade være med

• At bede revisoren om at løse IT-problemerne · det kan komme i konflikt med revisorens uafhængighed.
• At lade bemærkningerne ligge til næste år · de bliver gentaget og fylder mere i protokollatet.
• At have to lister · revisorens punkter og IT-lederens prioriteter skal samles.
• At holde den eksterne uden for møderne · så må økonomichefen svare på spørgsmål, vedkommende ikke kender.
• At glemme leverandørens erklæring · revisoren vil se den, og nogen bør have læst den.

Det skal I kræve af den eksterne

• ☐ At revisorens bemærkninger om IT indgår i opgavelisten med ejer og frist.
• ☐ Dokumentation, der viser, hvad der er gjort ved hver bemærkning.
• ☐ Deltagelse i møder med revisoren, når de handler om IT.
• ☐ En kort status til direktionen før hver revision.
• ☐ Kendskab til leverandørernes erklæringer og eventuelle forbehold i dem.

Næste skridt er at finde det seneste revisionsprotokollat frem, markere de bemærkninger, der handler om IT, og give dem videre til den, der leder IT-arbejdet. Hvilke roller der findes, er samlet under rollerne i ekstern IT-ledelse.

Senest gennemgået: november 2026.

Næste skridt

• Rollerne i ekstern IT-ledelse
• Rapportering: hvad ledelsen skal se, og hvor ofte

Læs også: Advokaten og den eksterne IT-leder · Ekstern DPO, vCISO og driftsleverandør

→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT