IT-revision eller IT-sagkyndig?

Når en tvist handler om et IT-system, spørger advokaten eller klienten ofte, om det er en IT-revisor eller en IT-sagkyndig, der skal bruges. Begge arbejder med IT, begge skriver erklæringer, og begge kan undersøge, om noget har fungeret som det skulle. Alligevel løser de to forskellige opgaver, og en erklæring fra den ene kan sjældent erstatte en erklæring fra den anden.

To forskellige spørgsmål

Den enkleste måde at skelne på er at se på spørgsmålet, der skal besvares.

IT-revision spørger: Er kontrollerne i en organisation eller hos en leverandør designet hensigtsmæssigt, og har de virket i en periode? Svaret giver brugerne af erklæringen en vis grad af sikkerhed for, at systemet drives forsvarligt.

IT-sagkyndigt bevisarbejde spørger: Hvad skete der konkret? Hvornår blev filen slettet, hvem havde adgang til kontoen, var leverancen mangelfuld, og hvad kan dataene vise om forløbet? Svaret bruges til at afgøre en tvist.

Det første er en vurdering af et system over tid. Det andet er en undersøgelse af en bestemt hændelse eller en bestemt leverance.

Revisionserklæringen

Erklæringer med sikkerhed afgives af revisorer efter revisions- og erklæringsstandarder. I IT-sammenhæng drejer det sig typisk om erklæringer om kontroller hos en serviceleverandør, for eksempel efter ISAE 3402, eller erklæringer efter ISAE 3000 om andre forhold, som informationssikkerhed eller databehandling.

Kendetegn ved en revisionserklæring:

• Den bygger på en ramme. Revisor vurderer kontroller op mod kontrolmål, som leverandøren har beskrevet, eller op mod en standard.
• Den dækker en periode. Erklæringen kan sige noget om, at kontrollerne har fungeret i et tidsrum, ikke om hver enkelt hændelse.
• Den bygger på stikprøver. Revisor tester udvalgte transaktioner eller hændelser og konkluderer på den baggrund.
• Den er skrevet til brugerne af ydelsen. Typisk leverandørens kunder og deres revisorer, ikke en domstol.

Derfor kan en revisionserklæring godt være et relevant bilag i en tvist. Den kan vise, hvad leverandøren har oplyst om sine kontroller, og om revisor har fundet afvigelser. Men den kan normalt ikke svare på, hvad der skete i den konkrete situation, som sagen handler om. → Når klienten er IT-leverandøren: egen dokumentation

Den IT-sagkyndiges erklæring

En IT-sagkyndig arbejder ud fra spørgsmål, der stilles i et opdrag eller et skønstema. Arbejdet tager udgangspunkt i data: logs, enheder, konti, kildekode, systemer i drift. Data sikres, før de undersøges, og hvert skridt dokumenteres, så en anden sagkyndig kan efterprøve resultatet. → Chain of custody i civile sager

Kendetegn ved en IT-sagkyndig erklæring:

• Den bygger på konkrete spørgsmål. Spørgsmålene er formuleret til sagen, ofte af advokaterne eller retten.
• Den handler om det, der skete. En bestemt hændelse, en bestemt leverance eller en bestemt periode.
• Den adskiller fund fra vurderinger. Det skal fremgå, hvad der er set i dataene, og hvad der er den sagkyndiges slutning.
• Den er skrevet til retten. Erklæringen skal kunne læses af en dommer uden IT-baggrund og skal kunne afhjemles. → Hvad skal en IT-skønserklæring indeholde?

Erklæringen kan være partsindhentet eller udarbejdet af en skønsmand, som retten har udmeldt. → Partsindhentet erklæring eller skønserklæring?

Hvornår hvad?

• Klienten vil vide, om en leverandørs kontroller generelt er forsvarlige · Revisionserklæring
• En leverandør har haft et sikkerhedsbrud, og spørgsmålet er, om aftalen er misligholdt · IT-sagkyndig, med revisionserklæringen som bilag
• En medarbejder har taget data med ved fratrædelse · IT-sagkyndig
• Et IT-projekt er forsinket, og parterne er uenige om årsagen · IT-sagkyndig eller IT-skønsmand
• Et regnskab eller en bogføring er omtvistet · Revisor eller regnskabskyndig, eventuelt suppleret af en IT-sagkyndig om systemdata
• Tidspunktet for en postering eller rettelse i et system er afgørende · IT-sagkyndig

Tabellen er en grov vejledning. Mange sager har elementer af begge, og så er spørgsmålet, hvilken del der bærer sagen.

Cyberangreb og ansvar

Efter et cyberangreb kan leverandøren henvise til sine revisionserklæringer som dokumentation for, at sikkerheden var i orden. Erklæringerne kan vise, at kontrollerne var beskrevet og testet i en periode. De viser ikke, om netop den kontrol, der skulle have stoppet angrebet, virkede den dag. Det spørgsmål kræver en undersøgelse af logs og systemer fra hændelsen. → Cyberangreb: tvisten med IT-leverandøren og Forsikringssager efter cyberangreb

Bogføring og regnskab

Hvis tvisten handler om tal, er det typisk en revisor eller en regnskabskyndig, der skal vurdere dem. Handler den om, hvornår og af hvem data blev registreret eller ændret i et system, kan en IT-sagkyndig undersøge systemets data og logs. → Digitale bogføringssystemer: hvad systemet skal kunne vise

Når revisoren selv er part

I sager om revisoransvar er det revisorens arbejdspapirer og systemer, der skal undersøges. Her er det en IT-sagkyndig, der kan se på versioner, tidsstempler og ændringer i de digitale arbejdspapirer. → Revisor- og rådgiveransvar: digitale arbejdspapirer

To sagkyndige i samme sag

Det er ikke usædvanligt, at en sag har brug for både en revisor og en IT-sagkyndig. Ved syn og skøn kan retten udmelde flere skønsmænd med hver sin faglighed. Det kræver, at skønstemaet fordeler spørgsmålene, så hver skønsmand kun besvarer det, der ligger inden for eget fag. → Skabelon: skønstema i en IT-sag

Uden for retten kan advokaten bruge en IT-sagkyndig til at læse en revisionserklæring og pege på, hvad den dækker, og hvad den ikke dækker. Det kan afklare, om der er brug for en egentlig undersøgelse.

Typiske fejl

• En revisionserklæring fremlægges som bevis for, at en bestemt hændelse ikke kunne ske.
• Skønstemaet beder en IT-sagkyndig vurdere regnskabsmæssige spørgsmål eller en revisor vurdere tekniske spor.
• Perioden i revisionserklæringen dækker ikke tidspunktet for hændelsen.
• Leverandørens beskrivelse af kontrollerne læses som revisors konklusion.

Tjekliste

• ☐ Er spørgsmålet en vurdering af kontroller over tid eller en konkret hændelse?
• ☐ Dækker en eventuel revisionserklæring den relevante periode og det relevante system?
• ☐ Er der afvigelser eller forbehold i revisionserklæringen?
• ☐ Er der data fra hændelsen, der skal sikres nu?
• ☐ Skal skønstemaet fordeles mellem flere fagligheder?

Bistand

Nielco IT er ikke et revisionsfirma og afgiver ikke erklæringer med sikkerhed efter revisionsstandarderne. Nielco IT arbejder som IT-sagkyndig i civile sager: sikring og undersøgelse af data, erklæringer til brug i sagen og gennemgang af andres erklæringer, herunder hvad en revisionserklæring kan og ikke kan bruges til. Rollerne er beskrevet på IT-sagkyndig og skønsmand i civile sager. Du kan beskrive sagen kort via Send en sag.