En bemærkning om IT fra revisor skal have én ejer, en beslutning og en dato, og bestyrelsen skal kunne følge den til dørs. Det gælder, uanset hvor bemærkningen står. Mange leder efter en bemærkning i revisionsprotokollen, men en revisionsprotokol er ikke et fast krav i alle selskaber, så hos jer kan den samme besked stå i et revisionsprotokollat eller et brev til ledelsen. Svaret er det samme i alle tilfælde. Direktionen ejer svaret, IT forbereder det, og økonomidirektøren holder sammen på det over for revisor. Hvad bemærkningen betyder for selve revisionen, er et spørgsmål til revisor.
Hvor bemærkningen kan stå
Formen afhænger af selskabet. Selskabsloven § 129 siger, at medlemmerne af det øverste ledelsesorgan underskriver revisionsprotokollen, hvis revisor fører en sådan. Efter § 147, stk. 2, påser revisor, om reglerne om forelæggelse og underskrift er overholdt, hvis der føres en protokol. Ordlyden viser, at protokollen ikke findes i alle selskaber.
I virksomheder af interesse for offentligheden skal et revisionsprotokollat efter artikel 11 i forordning (EU) nr. 537/2014 også forelægges bestyrelsen eller tilsynsorganet. Det følger af revisorloven § 20. Hvad der gælder hos jer, ved revisor. Spørg, hvis I er i tvivl om, hvem der formelt skal se dokumentet.
Resten af artiklen kan læses for alle tre former. Det afgørende er, at bemærkningen er nået frem til ledelsen, og at nogen nu skal gøre noget.
Først skal I forstå, hvad revisor faktisk siger
Læs bemærkningen sammen med IT og økonomi, og afklar fire ting med revisor, før svaret skrives:
- Hvilket system, selskab eller område drejer det sig om?
- Hvad har revisor konstateret, og hvad er en antagelse?
- Hvilken betydning har det for regnskabet?
- Hvad skal der til, for at revisor kan se, at punktet er lukket?
Det sidste spørgsmål bliver ofte glemt. Uden svaret risikerer I at bruge et år på noget, revisor ikke kan læne sig op ad. Mange bemærkninger handler om de generelle IT-kontroller, altså adgang, ændringer og drift, og så peger bemærkningen tit på et ejerskab, der aldrig er blevet placeret.
Hvem svarer
Fordelingen bør ligge fast, inden næste bemærkning kommer:
- Administrerende direktør ejer svaret og står inde for det over for bestyrelsen.
- Økonomidirektøren er revisors indgang, koordinerer og vurderer betydningen for regnskabet.
- CIO eller IT-chef forklarer årsagen, foreslår løsningen og leder arbejdet.
- Den faglige ejer af systemet beslutter sammen med IT, hvordan processen skal ændres, når årsagen ligger i brugen.
- Datterselskabets direktion får besked og tager stilling, hvis bemærkningen vedrører det selskab.
En fejl, der går igen, er at sende bemærkningen til IT-afdelingen og vente. Så får bemærkningen en teknisk rettelse, mens en eventuel svaghed i ansvar og proces består.
Hvad der skal besluttes
Hver bemærkning skal ende i et af tre valg, og valget skal stå i et referat.
Rette årsagen. Der laves en plan med ejer, frist og et bevis for, at det virker. Kræver rettelsen penge eller folk, skal den prioriteres i porteføljen på lige fod med andre opgaver. Ellers bliver den overhalet af projekter med større stemmer bag sig.
Kompensere i en periode. Kan årsagen først rettes, når et nyt system er på plads, kan en anden kontrol dække imens. Aftal det med revisor på forhånd, så I ved, om det kan bruges, og sæt en dato for, hvornår det stopper.
Acceptere risikoen. Ledelsen kan beslutte at lade forholdet stå, og så er det en beslutning med navn og begrundelse. Tag den i det ledelsesorgan, der har kompetencen, og fortæl revisor det.
Et tænkt eksempel: Revisor bemærker, at leverandørkonsulenter har haft for brede rettigheder i et ældre ERP-system, som skal udfases om halvandet år. Ledelsen vælger en kompenserende kontrol, hvor økonomi hver måned læser en log igennem, og giver CIO’en ansvaret for, at rettighederne bliver bygget rigtigt i det nye system. Punktet står åbent, til begge dele er bevist.
Hvis bemærkningen rammer flere selskaber
I en koncern kan samme årsag dukke op som flere bemærkninger hos flere revisorer eller i flere selskaber. Saml dem i én liste med én årsag og flere berørte selskaber, så de ikke løses hver for sig. Afklar, hvem der ejer løsningen, når systemet er fælles. Lokale direktioner skal stadig kunne redegøre for deres eget selskab.
Sådan orienteres bestyrelsen
Bestyrelsen har ifølge selskabsloven § 115, stk. 1, til opgave at påse, at de fornødne interne kontroller er etableret. Ordet IT står ikke i bestemmelsen, og det er vores læsning, at bemærkninger om IT hører med. Ved mødet, hvor bemærkningen behandles, bør bestyrelsen få en kort side med:
- bemærkningen med jeres egne ord,
- betydningen for regnskab og drift,
- det valg, ledelsen har truffet,
- ejer og frist,
- hvad der sker, hvis fristen ikke holdes.
Følg op, til punktet er lukket. En løbende oversigt over åbne punkter kan stå i den faste IT-rapport til direktionen. En bemærkning, der kommer igen året efter, skal behandles som et nyt ledelsespunkt. Spørg, hvorfor planen ikke virkede, før I laver en ny.
Står I uden egne IT-folk, er den første version af opgaven beskrevet i revisoren spørger til IT.
Det skal I lade være med
· At gå ud fra, at alle selskaber har en revisionsprotokol.
· At sende bemærkningen videre til IT uden en ejer i ledelsen.
· At melde et punkt lukket, før revisor kan se beviset.
· At bruge kræfterne på ordlyden af bemærkningen frem for på forholdet bag den.
Det skal I kræve af dem, der leder IT
- ☐ En forklaring af årsagen på et sprog, bestyrelsen kan bruge.
- ☐ Et forslag til valg mellem at rette, kompensere og acceptere.
- ☐ En plan med ejer, frist og det bevis, revisor skal se.
- ☐ En samlet liste over åbne punkter på tværs af selskaberne.
- ☐ Besked til direktionen, så snart en frist skrider.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115, stk. 1, § 129 og § 147, stk. 2.
- Revisorloven, LBK nr. 206 af 20. februar 2025: § 20.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Procesejere · Programmet bliver forsinket: sådan fortæller I det til bestyrelsen
→ Kontakt · Tlf. 70 13 63 23 · Ekstern CIO hos Nielco IT
