Fagfællebedømmelse (peer review) af forensisk arbejde

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Fagfællebedømmelse er en kontrol af forensisk arbejde, udført af en anden kompetent person, før resultatet afleveres. Der skelnes mellem teknisk review, hvor det vurderes, om fund og konklusioner er korrekte og følger af data, og administrativt review, hvor det kontrolleres, at rapporten er fuldstændig, konsistent og fri for formelle fejl. Begge dele fanger fejl, der er usynlige for den, der har lavet arbejdet, og begge dele bør dokumenteres.

Hvorfor det er nødvendigt

Den, der har udført en analyse, kender sagen, data og sit eget ræsonnement. Det er netop det, der gør det svært at se fejlene. En tidszone, der er antaget i stedet for kontrolleret, et fund, der er overtaget fra værktøjets visning uden at være verificeret, eller en konklusion, der rækker længere end data, kan være oplagt for en ny læser og usynlig for forfatteren.

Fagfællebedømmelse er også et værn mod bias. En kollega uden kendskab til opdragsgiverens forventninger ser, om alternative forklaringer er behandlet ordentligt. Se bias i forensisk analyse.

Standarderne for faget forventer en form for kontrol. ISO/IEC 27042 lægger vægt på, at analyse og fortolkning registreres, så de kan underkastes uafhængig efterprøvning. ENFSI’s manual for digital teknologi kræver, at skriftlige rapporter gennemgås af en kompetent person, der ikke har deltaget i analysen, og lader omfanget af gennemgangen afhænge af en risikovurdering af sagen. Se ISO/IEC 27042.

To former for review

Teknisk review · Om metoden er egnet, om centrale fund er verificeret, om fortolkningen er forsvarlig, om konklusionerne følger af data, og om alternative forklaringer er overvejet
Administrativt review · Om rapporten er fuldstændig og konsistent: hashværdier, sagsnumre, datoer, tidszoner, bilag, henvisninger, stavning og formalia

Teknisk review kræver en person med kompetence i den type data og de spørgsmål, rapporten behandler. Administrativt review kan udføres af en person med mindre teknisk dybde, men med blik for detaljer.

Verifikation som supplement

En tredje form er uafhængig verifikation, hvor en kollega selv genskaber de centrale fund fra de sikrede data uden at bruge forfatterens mellemresultater. Det er den stærkeste kontrol, men også den mest tidskrævende, og den bruges typisk på de fund, sagen afhænger af.

Hvad det tekniske review skal kontrollere

Sikring og integritet

Er hashværdier for kilder og kopier angivet og verificeret?
Er kæden af ansvar dokumenteret uden huller?
Er afvigelser fra den normale sikringsmetode beskrevet og begrundet?

Metode

Er værktøjer og versioner angivet?
Er metoden egnet til datatypen, og er dens begrænsninger beskrevet?
Er filtre, søgninger og tidszoneindstillinger dokumenteret?

Fund

Kan de centrale fund genfindes i rådata?
Er tidsstempler fortolket i det rigtige format og den rigtige tidszone?
Er fund fra værktøjets visning kontrolleret, eller er de overtaget direkte?

Fortolkning

Følger konklusionerne af fundene, eller rækker de længere?
Er alternative forklaringer overvejet, herunder systemaktivitet?
Er konklusionsgraderne brugt konsekvent?
Er fravær af spor fortolket forsigtigt?

Rapport

Er fakta, betydning og vurdering adskilt?
Er sproget neutralt, uden vurderinger af hensigt?
Er begrænsninger beskrevet konkret?

Hvornår reviewet skal ske

Review hører ikke kun til sidst. Fejl i sikringen eller i de første analysevalg er dyre at rette, når rapporten er skrevet. En praktisk model har tre kontrolpunkter:

Efter sikringen: Er kilderne fuldstændige, er hashværdierne verificeret, og er kæden af ansvar i orden?
Efter analyseplanen: Er hypoteserne dækkende, og er metoderne egnede? Se analyseplan og hypoteser.
Før aflevering: Det fulde tekniske og administrative review af rapporten.

Det første og andet kontrolpunkt kan være korte. De forhindrer, at en hel analyse bygges på et fejlagtigt grundlag.

Typiske fund i et review

Visse fejl går igen så ofte, at de er værd at lede efter først:

tidspunkter angivet uden tidszone, eller i forskellige tidszoner i tekst og bilag,
hashværdier, der er afskrevet forkert eller forkortet,
konklusioner om, hvem der udførte en handling, hvor data kun viser, hvilken konto der blev brugt,
fund, der kun stammer fra ét værktøjs fortolkning,
begrænsninger, der er nævnt i metodeafsnittet, men glemt i konklusionen.

Tjekliste til det administrative review

☐ Sagsnummer, parter og opdragsgiver er korrekte og ens overalt.
☐ Hashværdier i rapporten svarer til dem i bevisloggen, tegn for tegn.
☐ Datoer og tidspunkter har angivet tidszone.
☐ Alle bilag, der henvises til, findes, og alle bilag er henvist til.
☐ Tabeller og figurer har korrekte numre og forklaringer.
☐ Navne på personer, konti og enheder er stavet ens.
☐ Pseudonymer er konsekvente.
☐ Versionsnummer og dato på rapporten er korrekte.

Hvem kan udføre review

I en organisation med flere analytikere udføres review af en kollega, der ikke har arbejdet på sagen. I en lille praksis med én sagkyndig må reviewet ske eksternt, fx ved en anden sagkyndig, der arbejder under en fortrolighedsaftale. Det kræver, at opdragsgiveren er indforstået med, at en anden får adgang til materialet, og at adgangen er afgrænset til det nødvendige.

Hvor fuld ekstern gennemgang ikke er mulig, kan et delvist review stadig give værdi: Den eksterne gennemgår rapportens ræsonnement og metode uden adgang til de underliggende data, eller gennemgangen afgrænses til de centrale fund. Det skal fremgå, hvad reviewet omfattede.

Et tidsforskudt selv-review, hvor forfatteren gennemgår rapporten efter nogle dages pause med en fast tjekliste, er ikke en fagfællebedømmelse, men det fanger flere fejl end ingen gennemgang.

Uenighed mellem forfatter og reviewer

Reviewet skal kunne føre til ændringer. Er forfatter og reviewer uenige om en fortolkning, skal uenigheden løses fagligt: Hvad viser data, og hvad kan ikke afgøres? Ofte er løsningen at nedjustere en konklusion eller at beskrive den alternative forklaring tydeligere. Uenigheden og dens løsning bør registreres.

Reviewet må ikke blive en formalitet, hvor rapporten “godkendes” uden reel gennemgang. En reviewer, der aldrig finder noget, er et tegn på, at noget er galt med processen.

Dokumentation af reviewet

Registrér for hvert review:

hvem der udførte det, og hvornår,
hvilken version af rapporten der blev gennemgået,
om det var teknisk, administrativt eller begge dele,
hvad der blev kontrolleret, og hvad der ikke blev kontrolleret,
hvilke bemærkninger der blev givet, og hvordan de blev håndteret.

Fejl, der findes i reviewet, bør også føre til en vurdering af, om de skyldes en svaghed i proceduren, der kan rettes generelt. Se afvigelser og fejl undervejs.

Når rapporten bliver udfordret

Et dokumenteret review styrker rapporten, når den bliver angrebet. Det viser, at konklusionerne er kontrolleret af en anden, og at der er en proces for at fange fejl. Det er et sagligt svar på spørgsmålet: “Hvordan ved vi, at du ikke har taget fejl?” Svaret bliver endnu stærkere, hvis reviewerens bemærkninger og deres håndtering kan fremlægges, så det kan ses, at gennemgangen var reel.

Den samme tjekliste kan bruges, når en modparts rapport skal gennemgås, med den forskel, at gennemgangen sker uden adgang til forfatterens arbejdsnoter. Rapportens struktur og formuleringer er beskrevet i rapportskrivning.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Forensically sound: hvad begrebet betyder i praksis · Afvigelser og fejl undervejs: sådan dokumenteres de

→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik