Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen
Et revisionsbevis skal give revisor tilstrækkelig sikkerhed for en konklusion om regnskabet eller en kontrol. Et forensisk bevis skal kunne efterprøves af en modpart, en skønsmand eller en domstol, ned til den enkelte post. Derfor holder revisionens udtræk og analyser sjældent alene, når et fund bliver til en tvist: udtrækket mangler typisk dokumentation af kilden, hashværdier, og en beskrivelse af, hvordan data er hentet og bearbejdet. Det kan næsten altid rettes, hvis kilderne sikres, før de ændres.
Ledelsens næste skridt, når revisor har fundet noget, er beskrevet på bevissikring-digitalt.dk, og forskellen på IT-revision og IT-sagkyndig set fra advokatens side på digital-bevissikring.dk. Her er den tekniske overgang fra det ene til det andet.
To slags bevis, to formål
- Formål · Revisionsbevis: Rimelig sikkerhed for en samlet konklusion · Forensisk bevis: Dokumentation af konkrete hændelser og handlinger
- Omfang · Revisionsbevis: Stikprøver, analyser, væsentlighed · Forensisk bevis: Udtømmende inden for et afgrænset spørgsmål
- Kilde · Revisionsbevis: Ofte rapporter og udtræk leveret af den reviderede · Forensisk bevis: Sikret direkte fra systemet af en uafhængig
- Integritet · Revisionsbevis: Revisors professionelle vurdering · Forensisk bevis: Hashværdier, kæde af ansvar (chain of custody), gentagelighed
- Modtager · Revisionsbevis: Ledelse, bestyrelse, regnskabsbrugere · Forensisk bevis: Parter, advokater, skønsmand, domstol
Begge dele er professionelt arbejde. Forskellen er, at revisionsbeviset er bygget til at understøtte en vurdering, mens det forensiske bevis er bygget til at modstå en modparts angreb på de enkelte data.
Hvor revisionens materiale typisk er svagt
Når en IT-sagkyndig modtager revisionens arbejdspapirer i en sag, er det oftest de samme mangler, der går igen:
- Udtrækket er lavet af den reviderede. En medarbejder i økonomi har trukket en rapport og sendt den som Excel-fil. Hvis den medarbejder er involveret i forholdet, er udtrækket i sig selv omstridt.
- Forespørgslen er ikke dokumenteret. Det fremgår ikke, hvilken rapport, hvilke filtre og hvilken periode der er brugt, så udtrækket kan ikke gentages.
- Ingen hashværdier. Filen kan være ændret undervejs, og det kan ikke vises, at den ikke er.
- Bearbejdning i regneark. Data er sorteret, filtreret, slået sammen og pivoteret i Excel, og de mellemliggende trin er ikke gemt. Formler kan have overskrevet værdier. Se Excel i undersøgelser.
- Audit trail er ikke sikret. Revisionen har set på posteringerne, men ikke på systemets ændringslog, der viser, hvem der oprettede, ændrede eller slettede dem.
- Tidsstempler er tabt. Et udtræk til CSV eller Excel viser ofte kun bogføringsdato, ikke det tidspunkt, hvor posten faktisk blev registreret eller ændret.
Når fundet bliver en sag
Tidspunktet, hvor revisionens fund bliver til en mulig tvist, er også tidspunktet, hvor sikringen skal skifte karakter. Fire ting bør ske hurtigt:
- Frys kilderne. Sørg for, at ændringslogs, brugeradgange og data i regnskabs- og ERP-systemet ikke slettes eller overskrives. Spørg leverandøren, hvor længe audit trail og logins gemmes, for det varierer mellem systemer, og loginhistorik gemmes ikke nødvendigvis lige så længe som selve bogføringen. Hvad et digitalt bogføringssystem skal kunne vise, er beskrevet på digital-bevissikring.dk.
- Sikr direkte fra kilden. Lad en uafhængig hente data direkte fra systemet, gerne med en dokumenteret eksport eller en databasekopi, med hashværdi og log over fremgangsmåden. Se konsistent sikring af en database.
- Sikr ændringsloggen. Audit trail i ERP- eller regnskabssystemet er ofte det vigtigste spor. Den viser, hvilken bruger der lavede hvad hvornår. Se ERP-systemers audit trail teknisk.
- Bevar revisionens eget materiale. Revisors arbejdspapirer, udtræk og mails med den reviderede er også en del af sporet og skal gemmes uændret.
Kilderne ud over posteringerne
En økonomisag afgøres sjældent af posteringerne alene. Spørgsmålet er typisk, hvem der gjorde hvad, og om vedkommende vidste det. Derfor skal sikringen ofte omfatte mere end regnskabssystemet:
- Brugeradgange og roller i regnskabs- og ERP-systemet, herunder ændringer i rettigheder over tid.
- Godkendelsesflow for fakturaer og betalinger: hvem godkendte, hvornår, og fra hvilken konto.
- Netbankens log over oprettede og godkendte betalinger, hentet fra bankens erhvervsløsning.
- Bilag og dokumenter med deres metadata, fx PDF-fakturaer, der kan være redigeret.
- Mail og chat mellem de involverede om de konkrete posteringer.
- Loginlogs for de konti, der har foretaget ændringerne, så det kan vurderes, om kontoen var i brug af den person, den tilhører.
Det er sammenstillingen af disse kilder, der gør det muligt at gå fra “posten er forkert” til “posten blev ændret af denne konto på dette tidspunkt fra denne enhed”.
Når revisionens analyse er dataanalyse
Moderne revision bruger ofte dataanalyse på hele populationer i stedet for stikprøver, fx med scripts, der finder dubletter, runde beløb, posteringer uden for arbejdstid eller ændrede bankkonti. Det er værdifuldt, men det stiller de samme krav som al anden forensisk analyse: scriptet, versionen af værktøjet, inddata med hashværdi og uddata skal gemmes, så analysen kan køres igen med samme resultat. Et fund, der ikke kan genskabes, er svært at forsvare, hvis en modpart bestrider det. Gem også de kriterier, der blev afprøvet og forkastet; de viser, at analysen ikke er tilpasset til at nå et bestemt resultat.
Revisors egne udtræk kan stadig bruges
Revisionens materiale er ikke værdiløst, fordi det ikke er forensisk sikret. Det kan bruges som:
- Udgangspunkt. Revisionens fund peger på, hvor der skal sikres og analyseres.
- Sammenligning. Et udtræk fra revisionen kan sammenholdes med et nyt, forensisk sikret udtræk. Er de ens, styrker det begge. Er de forskellige, er forskellen i sig selv et fund.
- Tidsfæstelse. Revisors udtræk viser, hvordan data så ud på det tidspunkt, det blev lavet. Er data ændret siden, kan det dokumenteres.
Det afgørende er, at det dokumenteres, hvordan revisionens udtræk er lavet, af hvem og hvornår, så vidt det kan rekonstrueres. Usikkerheder skal skrives ned, ikke udglattes.
Roller og uafhængighed
En revisor, der har opdaget forholdet, kan senere blive vidne. Det taler for, at selve den forensiske sikring og analyse foretages af en anden end den, der har revideret. Det handler ikke om at mistro revisor, men om at undgå, at samme person både har formuleret mistanken og efterprøvet den. Samme princip gælder for IT-revisorer, der har testet adgangskontroller og derefter skal vurdere, om en bestemt bruger har misbrugt sin adgang.
Dokumentation, der bygger bro
Overgangen fra revision til sag bliver lettere, hvis IT-revisionen allerede i det daglige arbejde dokumenterer lidt mere end krævet:
- navnet på rapporten eller forespørgslen og alle parametre
- hvem der kørte udtrækket, fra hvilken konto og hvornår
- hashværdi af den modtagne fil
- en kopi af den oprindelige fil, adskilt fra arbejdskopien
- en kort log over bearbejdningstrin
Det koster få minutter pr. udtræk og gør materialet langt mere brugbart, hvis det senere skal indgå i en sag. Det samme gælder, når revisionen modtager data via en portal eller en delt mappe: notér, hvem der lagde filen der, og hvornår. Felterne i en egentlig kæde af ansvar er beskrevet i chain of custody-loggen.
Kilder og versioner
- ISO/IEC 27037:2012: Guidelines for identification, collection, acquisition and preservation of digital evidence
- ISACA: IT Audit Framework (ITAF)
- NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Kvalitet og standarder
Læs også: Forensic readiness teknisk: baseline for logning, opbevaring og tidssynkronisering · Forensic readiness-test: kan logningen bære en undersøgelse?
→ Second opinion på en IR- eller forensic-rapport · For IT-revision · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
