Generelle IT-kontroller, på engelsk general IT controls eller ITGC, er de faste kontroller omkring adgang, ændringer og drift, der gør det muligt at stole på de systemer, regnskabet kommer fra. Begrebet er til at forstå. Ejerskabet er sværere at placere, når IT-afdelingen udfører kontrollerne, økonomi har brug for dem, og systemerne går på tværs af selskaber og leverandører. Den placering er en ledelsesbeslutning, som bør ligge fast, før revisor kommer. Hvilke kontroller der vægter hos netop jer, og hvad der er tilstrækkeligt, afhænger af virksomheden og afklares med revisor. Artiklen beskriver ledelsens side af sagen. Når revisor ser på området, kaldes det ofte IT-revision.
Hvad begrebet dækker
Begrebet kommer fra revisionsstandarden ISA 315. Standarden er læst på engelsk, og de danske ord her er vores oversættelse. Generelle IT-kontroller er kontroller over virksomhedens IT-processer, som understøtter, at IT-miljøet fortsat fungerer effektivt. Standarden nævner tre processer:
- Adgang. Styring af, hvem der kan komme ind i IT-miljøet. Set fra ledelsen er spørgsmålet, hvem der godkender en rettighed, og hvem der opdager, at den burde være lukket.
- Ændringer. Styring af ændringer i programmer og i selve IT-miljøet. Her er spørgsmålet, hvem der må godkende en ændring i et system, som regnskabet bygger på, og om den, der laver ændringen, også kan godkende den.
- Drift. Styring af den daglige IT-drift. Spørgsmålet er, hvem der ser, at kørsler, overførsler og sikkerhedskopier er gået, som de skulle, og hvem der handler, når det ikke er sket.
Ved siden af dem står applikationskontroller, altså de kontroller, der ligger i det enkelte system, fx en godkendelse, før en faktura kan betales. De generelle IT-kontroller omgiver systemerne, og det er dem, artiklen handler om. Hvilke af de to slags jeres revisor ser på, afhænger af virksomheden og afklares med revisor.
Hvorfor revisor interesserer sig for det
Efter standarden identificerer revisor de IT-applikationer og andre dele af IT-miljøet, der er omfattet af risici fra brugen af IT, og de generelle IT-kontroller, der hører til. Standardens bilag 6 kommer ind på kontroller på flere niveauer: applikation, database, styresystem og netværk. Hvor langt det rækker hos jer, kan ingen artikel afgøre, for standarden lader det afhænge af virksomheden.
Selskabsloven § 115, stk. 1, nr. 2, pålægger bestyrelsen at påse, at risikostyring og interne kontroller er på plads med de procedurer, der er brug for. Ordet IT står ikke i bestemmelsen. Det er vores læsning, at kontroller over de systemer, regnskabet bygger på, hører med i det billede. Bestyrelsen bør derfor kunne få et klart svar på, hvem der står inde for dem.
Tre roller, som ofte bliver blandet sammen
Når IT-afdelingen svarer på alle revisors spørgsmål, ser det ud, som om IT ejer kontrollerne. Den fordeling holder dårligt, for IT kan ikke vurdere, om en bogholder bør kunne godkende betalinger. Skil derfor tre roller ad:
- Kontrolejeren står inde for, at kontrollen virker, og svarer for afvigelser. Ved rettigheder i økonomisystemet er det naturligt en leder i økonomifunktionen.
- Udføreren gør arbejdet. Det er ofte IT-afdelingen eller en driftsleverandør.
- Den, der følger op, ser på tværs, om kontrollerne bliver udført, og samler dokumentationen. Det er en opgave for CIO’en eller IT-chefen i samarbejde med økonomidirektøren.
Fordelingen bør stå i et kort dokument, så en ny medarbejder og en ny revisor kan læse den. En ejer, der står i et regneark uden nogensinde at være blevet spurgt, tæller ikke.
Flere selskaber og flere leverandører
Med fælles ERP i koncernen kan koncern-IT udføre kontrollen, mens hvert selskab har brug for at kunne stå inde for sit eget regnskab. Så skal der aftales, hvad datterselskabet får at vide, og hvornår. Det hører hjemme i den aftale, der beskriver koncern-IT som leverandør. Med forskellige systemer i selskaberne kan samme kontrol se forskellig ud fra sted til sted, og revisor skal kunne se, hvilken version der gælder hvor.
Ligger driften hos en leverandør, er arbejdet flyttet, mens spørgsmålet om ejerskab stadig er jeres. Revisor kan bede om dokumentation fra leverandøren, fx en erklæring om leverandørens kontroller. Om en sådan erklæring kan bruges hos jer, er et spørgsmål til revisor. Læg også mærke til, hvad I selv skal gøre, for at leverandørens kontroller virker. Godkendelsen af rettigheder bliver ofte hos jer.
Hvilke systemer er med?
Start med listen over systemer. Tag dem, regnskabet bygger på, og de integrationer, der fører tal ind i dem. Det kan være ERP, løn, fakturering og lager. Aftal listen med revisor og økonomifunktionen, og hold den opdateret. En ajourført applikationsportefølje gør arbejdet langt lettere, fordi ejer og leverandør allerede står der.
Et stort program ændrer billedet undervejs. Et nyt ERP-system, en samling af selskaber eller en overgang til cloud giver nye kontroller og nye ejere. Revisor bør høre om det i god tid, så omfanget kan drøftes, før systemet går i drift. Punktet hører med i planen for et ERP-program.
Fra enkeltstående svar til fast rytme
Mange IT-afdelinger leder efter dokumentation, når revisor spørger. Det koster tid og giver dårlige svar. Læg kontrollerne ind i et årshjul med en fast rytme for gennemsyn af rettigheder, godkendelse af ændringer og opfølgning på driften, og gem beviset, når arbejdet bliver udført.
Lad afvigelser gå samme vej hver gang: hvem der ser dem, hvem der afgør, om de er alvorlige, og hvornår ledelsen hører om dem. Får revisor alligevel noget at bemærke, står det i revisors bemærkning om IT, hvordan ledelsen svarer.
I en virksomhed uden egne IT-folk ser opgaven anderledes ud. Dér handler den om at samle svarene til revisor fra leverandørerne.
Det skal I lade være med
· At lade IT eje kontroller, som kun forretningen kan vurdere.
· At opfatte en outsourcing som overdragelse af ejerskabet.
· At fortælle revisor om det nye system, når det allerede er gået i drift.
· At bruge denne artikel som facit. Det afklares med revisor.
Det skal I kræve af dem, der leder IT
- ☐ En liste over de systemer og integrationer, regnskabet bygger på, aftalt med økonomifunktionen.
- ☐ En navngiven ejer af hver kontrol, som ved det.
- ☐ Et årshjul for kontrollerne med gemt dokumentation.
- ☐ En aftalt linje for, hvad datterselskaber og leverandører skal levere.
- ☐ En kort status til direktionen om afvigelser og åbne punkter.
Kilder
- ISA 315 (Revised 2019), IAASB: afsnit 12(d), 12(g)(iii) og 26(b) og (c) samt bilag 6. Læst på engelsk.
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115, stk. 1.
Senest gennemgået: november 2026.
Næste skridt
Læs også: IT-governance-model · Styring af en stor outsourcingkontrakt
→ Kontakt · Tlf. 70 13 63 23 · Ekstern CIO hos Nielco IT
