Audit: hvad det er, hvem der kan det, og hvad de tjener

Audit er færdigheden i systematisk at undersøge, om en proces, kontrol, praksis eller organisation lever op til de krav, den skal vurderes imod. Det kan være interne regler, lovkrav, kontrakter, regnskabsprincipper, sikkerhedskrav eller standarder som ISO.

En person med stærke auditfærdigheder kan omsætte et bredt område til et klart formål, scope og sæt af kriterier. Vedkommende identificerer de væsentligste risici og vælger, hvad der faktisk skal undersøges. Audit er derfor mere end at gennemgå en tjekliste.

I selve arbejdet indsamler vedkommende evidens. Det kan ske gennem interviews, dokumentgennemgang, observationer, stikprøver, dataanalyse og test af kontroller. En erfaren person skelner mellem, at en procedure findes på papiret, og at den faktisk bliver fulgt og virker i praksis.

Færdigheden omfatter også at vurdere kvaliteten af evidensen. En forklaring fra en medarbejder er ikke nødvendigvis tilstrækkelig dokumentation. Vedkommende søger relevante, pålidelige og tilstrækkelige oplysninger, før der drages en konklusion.

Audit kræver samtidig objektivitet. Man skal kunne undersøge kritisk uden på forhånd at beslutte, at noget er forkert. Man skal kunne ændre sin vurdering, hvis evidensen peger i en anden retning.

Resultatet skal dokumenteres, så andre kan forstå, hvad der er undersøgt, hvilken evidens der er anvendt, og hvordan konklusionen er nået. Fund skal kunne forbindes med et konkret kriterium eller en risiko. En god auditrapport skelner mellem observationer, dokumenterede afvigelser, risiko og anbefalinger.

Auditfærdigheden omfatter normalt også opfølgning. Det betyder at kunne vurdere, om aftalte handlinger faktisk adresserer den konstaterede risiko, frem for blot at registrere at en opgave er markeret som afsluttet.

Audit bruges på mange fagområder. Metoden findes blandt andet i intern audit, revision, IT-audit, informationssikkerhed, kvalitet, compliance, leverandøraudit og audit af ledelsessystemer. Metoden kan overføres mellem områder, men man skal samtidig have tilstrækkelig faglig viden om det område, der undersøges.

Audit er vigtig, når en organisation har brug for mere end en persons vurdering af, at noget ser rigtigt ud. Der skal være en struktureret undersøgelse og dokumenterbar evidens bag konklusionen.

Færdigheden bruges eksempelvis ved interne audits af processer og kontroller. Her undersøges det, om organisationens styring fungerer som tiltænkt, og om væsentlige risici håndteres.

Audit er også central i IT, cybersikkerhed og compliance. En person kan eksempelvis undersøge adgangsstyring, ændringsstyring, backup, leverandørkontroller eller efterlevelse af interne sikkerhedskrav. Det afgørende er ikke alene, om en politik eksisterer, men om de nødvendige kontroller er designet hensigtsmæssigt og fungerer i praksis.

Ved ISO-baserede ledelsessystemer bruges audit til systematisk at vurdere, om organisationens praksis stemmer med de valgte krav og egne procedurer. ISO 19011 beskriver blandt andet principper, planlægning, gennemførelse og rapportering af audit af ledelsessystemer.

Færdigheden er også relevant ved leverandørstyring. En kunde kan have behov for at undersøge, om en kritisk leverandør faktisk arbejder efter de sikkerheds-, kvalitets- eller proceskrav, der er aftalt.

Audit gør især en forskel i roller som intern auditor, IT-auditor, folk, der arbejder med compliance, kvalitetsansvarlig, folk, der arbejder med informationssikkerhed, risk manager og ekstern auditor. Mange konsulenter og folk, der arbejder med auditmetoder, bruger desuden auditmetoder uden at have auditor som jobtitel.

Jo større konsekvensen af en forkert konklusion er, desto vigtigere bliver disciplinen omkring scope, evidens, dokumentation og objektivitet.

Audit læres bedst ved at gennemføre rigtige audits sammen med erfarne personer. Teori kan forklare processen, men dømmekraften udvikles gennem praksis.

En god begyndelse er at lære at formulere auditmål og scope, identificere kriterier og risici samt udarbejde et arbejdsprogram. Derefter trænes interviewteknik, dokumentgennemgang, stikprøver, kontroltest og dokumentation af arbejdspapirer.

Det er særligt nyttigt at træne forskellen mellem kontrolbeskrivelse og kontroltest. En ny person spørger ofte, hvordan en proces fungerer. En mere erfaren person følger processen, finder den relevante dokumentation, udvælger konkrete eksempler og undersøger, om kontrollen faktisk blev udført.

En anden vigtig øvelse er at skrive fund. Vedkommende skal kunne beskrive, hvad kriteriet er, hvad evidensen viser, hvilken risiko eller betydning forholdet har, og hvorfor konklusionen er rimelig. Fund, der ikke kan spores tilbage til evidens, er et tegn på svag auditpraksis.

Review fra en erfaren person er en væsentlig del af træningen. Gennemgangen af scope, test, arbejdspapirer og konklusioner viser, hvor vedkommende har antaget noget, overset alternativ evidens eller draget en stærkere konklusion, end materialet understøtter.

The Institute of Internal Auditors' Global Internal Audit Standards er et centralt fagligt grundlag for intern audit. Certified Internal Auditor, CIA, er en anerkendt certificeringsvej for folk, der arbejder professionelt med intern audit.

Inden for IT-audit er ISACA's Certified Information Systems Auditor, CISA, en etableret faglig vej. CISA's fagområde om audit omfatter blandt andet risikobaseret planlægning, test og sampling, indsamling af evidens, dataanalyse, rapportering og opfølgning.

Ved audit af ledelsessystemer er ISO 19011 en central metodekilde. Auditor- og lead auditor-kurser baseret på relevante ISO-standarder kan give en struktureret introduktion til auditprocessen og mulighed for at øve interviews, auditplanlægning og rapportering.

Et kursus kan lære terminologi og metode. Det gør ikke i sig selv en person til en stærk auditor. Færdigheden bliver væsentligt bedre gennem gentagen praksis, supervision, review og erfaring med situationer, hvor evidensen er mangelfuld eller modsatrettet.

Domæneviden er også nødvendig. En dygtig person, der arbejder med IT-audit, skal forstå IT og kontroller. En kvalitetsauditor skal forstå de processer og krav, der undersøges. Auditmetoden kan ikke erstatte den faglige forståelse, som konklusionen bygger på.

En person med reel auditfærdighed kan forklare sin metode uden kun at nævne en standard eller certificering. Vedkommende kan beskrive, hvordan et auditområde blev afgrænset, hvilke risici der blev prioriteret, hvilken evidens der blev indsamlet, og hvordan konklusionen blev nået.

Spørg eksempelvis om en audit, hvor den oprindelige antagelse viste sig at være forkert. En erfaren person bør kunne forklare, hvordan ny evidens ændrede vurderingen. Det siger noget om objektivitet og professionel skepsis.

Spørg også, hvordan vedkommende tester, om en kontrol virker. Et stærkt svar indeholder normalt mere end interviews og dokumentation af en procedure. Personen bør kunne forklare, hvordan konkrete transaktioner, hændelser, systemdata eller andre observationer blev udvalgt og efterprøvet.

Det er værd at bede om et anonymiseret eksempel på et auditfund eller få vedkommende til mundtligt at formulere et fund. Et godt fund gør det tydeligt, hvilket kriterium der vurderes imod, hvad evidensen viser, og hvorfor forholdet er relevant.

En stærk person, der arbejder med audit, ved også, hvor sikker en konklusion kan være. Vedkommende kan forklare begrænsninger i scope, stikprøver og tilgængelig evidens frem for at fremstille en begrænset undersøgelse som et endeligt bevis.

Se efter erfaring med hele auditforløbet. Det omfatter planlægning, feltarbejde, dokumentation, rapportering, dialog med de auditerede og opfølgning. Erfaring med kun at udfylde kontrolskemaer viser ikke nødvendigvis den samme auditkompetence.

Certificeringer som CIA eller CISA kan dokumentere relevant faglig viden. De bør vurderes sammen med konkrete eksempler på audits og personens evne til at forklare metode, evidens og konklusioner.