IT Auditor

En IT auditor kontrollerer de it-kontroller, som andre er ansvarlige for. Jobbet handler sjældent om at hacke noget. Det handler om at kunne bevise, at kontrollerne findes og faktisk bliver brugt.

Størstedelen af arbejdet er bygget op om det, faget kalder generelle it-kontroller (ITGC). Det dækker fire klassiske områder:

• Adgangsstyring. Hvem har adgang til hvad, og hvem har godkendt det? Auditor trækker brugerlister fra Active Directory, SAP eller økonomisystemet. Så testes fratrådte medarbejdere, administratorrettigheder og adskillelse af funktioner.
• Ændringshåndtering. Er kode og konfiguration testet og godkendt, før det kom i drift? Her udtages stikprøver i Jira, Azure DevOps eller ServiceNow.
• It-drift. Backup, jobovervågning, fejlhåndtering og beredskab. Auditor beder om bevis for, at en restore-test rent faktisk er gennemført.
• Systemudvikling. Blev det nye system testet, og blev data migreret korrekt?

Mange IT auditors laver også erklæringsopgaver. I Danmark er ISAE 3402 den mest udbredte. En it-leverandør får en erklæring om sine kontroller, som kunderne kan bruge i deres egen revision. ISAE 3000 bruges til blandt andet informationssikkerhed og GDPR. Standarderne kommer fra IAASB, og FSR – danske revisorer udgiver de danske vejledninger.

En almindelig arbejdsdag

Dagen består sjældent af én lang opgave. Den ligner oftere dette:

• Planlægningsmøde om årets revision og risikovurdering
• Walkthrough med en systemadministrator, hvor processen forklares og noteres
• Stikprøvetest: udvælgelse, indhentning af bevis og dokumentation i arbejdspapiret
• Skrivning af findings og vurdering af, hvor alvorlige de er
• Afklaringsmøde med it-chefen, som ofte er uenig i vurderingen
• Opfølgning på sidste års anbefalinger

Januar til april er travl for auditors i revisionshusene. Det følger regnskabsårets afslutning.

En stor del af jobbet er at skrive og forhandle. Du skal kunne forklare en teknisk svaghed, så en direktion forstår konsekvensen. Du skal også kunne holde fast, når it-afdelingen presser på for at få en finding fjernet eller nedgraderet.

Typiske arbejdspladser er revisionshusene, banker, pensions- og forsikringsselskaber, energiselskaber og store it-leverandører. Det offentlige har også it-revisorer, blandt andet i Rigsrevisionen og i den kommunale revision.

Hvilken lovgivning dækker denne rolle?

Titlen er ikke beskyttet, og der findes ingen autorisation som IT auditor. Men meget af arbejdet findes kun, fordi lovgivning kræver det. Revisorloven regulerer godkendte revisorer og revisionsvirksomheder, og Erhvervsstyrelsen fører tilsyn med dem. For finansielle virksomheder stiller Finanstilsynets bekendtgørelse om revisionens gennemførelse krav om, at revisionen omfatter it-området. EU's DORA-forordning skærper siden januar 2025 kravene til ikt-risikostyring, test og leverandørstyring i den finansielle sektor. Dertil kommer EU's NIS2-direktiv for samfundsvigtige sektorer og databeskyttelsesforordningen, hvor Datatilsynet fører tilsyn med kravene til behandlingssikkerhed.

Der er ikke én fast vej ind i faget. To veje dominerer, og en tredje er meget almindelig.

Revisionsvejen
Mange starter med en bachelor i erhvervsøkonomi eller revision, fx HA eller HD i regnskab. Derefter læses cand.merc.aud. Bacheloren tager tre år, kandidaten to. Adgangskravet til en erhvervsøkonomisk bachelor er en gymnasial eksamen med matematik B og engelsk B. Cand.merc.aud giver også adgang til eksamen som statsautoriseret revisor efter revisorloven. Det er ikke et krav for at være IT auditor, men det er normalt for dem, der sigter mod partner i et revisionshus.

It-vejen
Den anden halvdel kommer fra datamatiker, softwareudvikling, it-sikkerhed eller datalogi. Datamatiker tager 2½ år på et erhvervsakademi. Den kan bygges videre til en professionsbachelor i softwareudvikling. Adgangskravet er en gymnasial eksamen eller en relevant erhvervsuddannelse med matematik C.

Skift fra driften
En meget almindelig vej er at skifte efter nogle år i it-drift. Systemadministratorer, netværksfolk og ERP-konsulenter er attraktive, fordi de ved, hvordan systemerne virker i virkeligheden. De kan hurtigt se, når en kontrol kun findes på papiret. Kombineret med en certificering er springet realistisk uden ny uddannelse.

Certificeringer
CISA fra ISACA er den certificering, danske arbejdsgivere kigger efter. Den kræver bestået eksamen og fem års relevant erfaring, hvoraf en del kan erstattes af uddannelse. Andre relevante er CRISC og CISM fra ISACA, CISSP fra ISC2 samt lead auditor-kurser i ISO/IEC 27001. Dansk Standard udbyder kurser i ISO 27001 på dansk.

Karriereveje
I et revisionshus går forløbet typisk fra junior til senior efter to-tre år, derefter manager. Mange skifter efter fem-otte år til den anden side af bordet. Derfra går vejen ofte mod GRC, informationssikkerhedschef, DPO, risk manager eller ikt-revisionschef i en større virksomhed. Erfaring med ISAE 3402 og DORA er blandt de mest efterspurgte profiler i den finansielle sektor.

Værktøjerne er en blanding af dataanalyse, dokumentation og de systemer, der bliver revideret.

• Dataanalyse: Excel er stadig det mest brugte. Dertil IDEA fra CaseWare og ACL fra Diligent. SQL bruges til at trække data direkte fra databaser, og Python eller Power BI til større analyser.
• Arbejdspapirer og styring: TeamMate+, AuditBoard, Workiva eller virksomhedens eget GRC-system. Mindre huse kører stadig på Word- og Excel-skabeloner.
• Systemer, der revideres: Active Directory og Microsoft Entra ID til adgangsstyring, SAP med SAP GRC, Oracle, Dynamics og branchespecifikke kernesystemer.
• Ændringer og tickets: Jira, Azure DevOps, GitHub og ServiceNow.
• Logning og overvågning: Microsoft Sentinel, Splunk og Defender.
• Cloud: Azure- og AWS-konsoller, hvor auditor kigger på roller, netværksregler og logning.

Rammeværkerne er lige så vigtige som værktøjerne. De mest brugte er ISO/IEC 27001, COBIT fra ISACA, CIS Controls og NIST Cybersecurity Framework. I staten fylder ISO 27001 særligt meget, fordi statslige myndigheder skal arbejde efter standarden, og Digitaliseringsstyrelsen vejleder om det.