Revision: Svindelalarm i Skatte- og Vækstministeriet: Alle kan stjæle dine penge og der er ingen kontrol

Rigsrevisionen har påvist, at kontrollen med medarbejdernes adgange til ministeriets regnskabssystemer fortsat er mangelfuld.
Ministeriet mangler et samlet overblik over, hvilke rettigheder den enkelte medarbejder har på tværs af systemerne.
I to af fire undersøgte systemer var kontrollen med handlinger foretaget via udvidede adgange utilstrækkelig.
Beretningen dokumenterer ikke konkret tyveri, men en risiko for, at fejl eller svig kan forblive uopdaget. Det skriver Rigsrevisionen, Ingeniøren, og Statsrevisorerne.

Rigsrevisionens beretning nr. 19/2025 om revisionen af statsregnskabet for 2025 blev offentliggjort den 17. august 2026. Beretningen vedrører Skatteministeriets regnskabsforvaltning i 2025. Rigsrevisionen anfører samtidig, at ressortområdet nu hører under Skatte- og Vækstministeriet. Statsregnskabet blev samlet vurderet som rigtigt og uden væsentlige fejl, men Statsrevisorerne fremhævede en række konkrete svagheder i ministeriernes regnskabsforvaltning. Ét af de fremhævede områder vedrører medarbejdernes adgange og handlinger i Skatteministeriets regnskabssystemer. Det siger Rigsrevisionen

Tre væsentlige mangler i adgangskontrollen

Rigsrevisionen har identificeret tre hovedproblemer i ministeriets styring af brugerrettigheder:

Kontrolområde	Konstateret mangel	Betydning
Adgange på tværs af systemer	Ministeriet har ikke et fuldstændigt overblik over medarbejdernes samlede kombinationer af rettigheder	Ministeriet kan ikke fastslå, om funktionsadskillelsen kan omgås
Arbejdsbetinget behov	De overordnede kontroller med tildelte adgange har svagheder	Medarbejdere kan potentielt beholde bredere rettigheder end deres arbejdsopgaver kræver
Udvidede adgange	Handlinger foretaget af medarbejdere med særlige rettigheder kontrolleres ikke tilstrækkeligt i to af fire undersøgte systemer	Fejl eller svig kan blive gennemført uden rettidig opdagelse

I ét af de undersøgte systemer var der ifølge Rigsrevisionen risiko for, at en medarbejder med udvidede rettigheder kunne ændre oplysninger om bankkonti og derefter igangsætte udbetalinger, uden at ministeriet nødvendigvis ville opdage det. Der er tale om en konstateret kontrolrisiko. Beretningen fastslår ikke, at en medarbejder faktisk har foretaget sådanne ændringer eller modtaget en uberettiget udbetaling. Uden kontrol kan det jo ikke konstattteres.

Den manglende kontrol betyder dermed ikke, at et tyveri er bevist. Den betyder, at ministeriet ikke med tilstrækkelig sikkerhed kan dokumentere, at en medarbejder ikke kan gennemføre eller skjule en uberettiget disposition.

Regnskabsbekendtgørelsen kræver funktionsadskillelse

De retlige krav fremgår af bekendtgørelse nr. 116 af 19. februar 2018 om statens regnskabsvæsen mv..

Regnskabsbekendtgørelsens § 24 kræver, at »der etableres en personmæssig adskillelse mellem den regnskabsmæssige registrering og betalingen«.

Hvis denne adskillelse ikke praktisk kan etableres, skal institutionens regnskabsinstruks indeholde særskilte bestemmelser, som sikrer kontrollen med betalingerne på anden måde, jf. regnskabsbekendtgørelsens § 24.

Regnskabsbekendtgørelsens § 28 indeholder et tilsvarende krav for udbetalingsforretninger. Efter § 28, stk. 2, skal der under hensyn til betalingernes størrelse og frekvens gennemføres de nødvendige kontroller af både betalingsgrundlaget og den faktiske gennemførelse af betalingerne. (Retsinformation)

Funktionsadskillelse er derfor ikke blot en anbefalet administrativ fremgangsmåde. Det er et bindende krav til organiseringen af statslige regnskabsregistreringer og udbetalinger. Hvis en institution vælger kompenserende kontroller, skal disse være beskrevet, anvendt og tilstrækkelige til reelt at begrænse risikoen.

Rettigheder skal vurderes på tværs af systemerne

En medarbejder kan have begrænsede rettigheder i hvert enkelt system, men alligevel få en uhensigtsmæssig samlet adgang, når rettighederne kombineres på tværs af flere systemer.

Det afgørende er derfor ikke alene, om medarbejderen kan gennemføre en udbetaling i ét bestemt system. Kontrollen skal også afdække, om den samme medarbejder gennem forskellige systemer kan ændre stamdata, registrere en disposition, ændre en bankkonto og medvirke til at godkende eller gennemføre betalingen.

Økonomistyrelsens vejledning om kontrol af rettigheder tildelt på tværs af systemer fastslår, at institutionen skal føre kontrol med, hvem der kan tilgå bestemte data, og i hvilket omfang. Rettigheder skal være begrundet i et reelt arbejdsbetinget behov, og institutionen skal kunne identificere, om kombinerede adgange gør det muligt at gennemføre en samlet udbetalingsproces eller omgå centrale kontroller.

Hvis en medarbejder ikke længere har et arbejdsbetinget behov for en bestemt rettighed, skal rettigheden efter vejledningen tilpasses eller fjernes. Det gælder også, selv om rettigheden oprindeligt blev tildelt korrekt.

Kritikken går tilbage til 2019

Problemet er ikke nyt. Rigsrevisionen behandlede første gang sagen om Skatteministeriets styring af brugerrettigheder i beretning nr. 19/2019 om revisionen af statsregnskabet for 2019.

Revisionen for 2025 viser, at ministeriet har arbejdet med området, men at de tre væsentlige mangler fortsat består. Rigsrevisionen henviser til en ministerredegørelse fra 2025, hvor ministeriet forventede, at afdækningen af medarbejdernes kombinerede adgange ville blive afsluttet i løbet af 2026. Den nye beretning dokumenterer ikke, at denne afdækning er afsluttet eller har fjernet de konstaterede risici.

Når en kontrolsvaghed har været kendt gennem flere år, skærpes behovet for en dokumenteret handleplan, klare ledelsesansvar, konkrete frister og en efterfølgende kontrol af, om de besluttede foranstaltninger faktisk virker.

Det er ikke tilstrækkeligt at have en politik om funktionsadskillelse, hvis de tekniske rettigheder fortsat gør det muligt at omgå politikken.

Sagen om Britta Nielsen er en advarsel, men ikke et bevis

Ingeniøren sammenligner kontrolrisikoen med sagen om Britta Nielsen, der som medarbejder i Socialstyrelsen gennem en længere periode gennemførte omfattende uberettigede dispositioner.

Ifølge Anklagemyndighedens officielle meddelelse om Københavns Byrets endelige dom blev Britta Nielsen idømt seks år og seks måneders ubetinget fængsel for svig for 117 millioner kroner. Anklagemyndigheden besluttede ikke at anke dommen, som dermed blev endelig. Det skriver Anklagemyndigheden.

Sagen illustrerer, hvor alvorlige følger utilstrækkelig funktionsadskillelse, mangelfuld efterkontrol og langvarigt misbrug af en betroet stilling kan få.

De to forhold må imidlertid ikke sidestilles juridisk.

I sagen om Britta Nielsen forelå der dokumenterede strafbare handlinger, et opgjort tab, en identificeret gerningsperson og en endelig dom. Rigsrevisionens aktuelle beretning om Skatte- og Vækstministeriet vedrører derimod kontrolsvagheder og risikoen for svig. Beretningen identificerer ikke en medarbejder, som har stjålet, og den opgør ikke et tab som følge af en konkret uberettiget udbetaling.

Beretningen er ikke en strafferetlig afgørelse

Rigsrevisionens anvendelse af ordet svindel er en beskrivelse af en revisionsmæssig risiko. Ordet udgør ikke i sig selv en strafferetlig kvalifikation af en bestemt handling.

En strafferetlig vurdering forudsætter dokumentation for konkrete dispositioner, gerningspersonens forsæt, den økonomiske berigelse eller det påførte tab samt den enkelte persons ansvar og faktiske handlemuligheder.

Rigsrevisionens beretning kan derfor ikke bruges som dokumentation for, at ansatte i ministeriet har stjålet fra statskassen. Den dokumenterer derimod, at ministeriets kontrolmiljø ikke giver tilstrækkelig sikkerhed for, at uberettigede handlinger altid vil blive forebygget eller opdaget.

Den retligt præcise formulering er derfor, at mangelfuld adgangsstyring kan gøre det muligt at gennemføre eller skjule uberettigede dispositioner. Det vil være misvisende at fastslå som et faktum, at medarbejdere allerede har gjort det.

Ministeriet skal kunne dokumentere, at kontrollen virker

En tilstrækkelig genopretning kræver et samlet og løbende ajourført overblik over alle relevante medarbejderrettigheder på tværs af regnskabssystemerne.

Ministeriet skal samtidig kunne dokumentere, hvem der har godkendt en adgang, hvilket arbejdsbetinget behov adgangen dækker, hvornår behovet senest er kontrolleret, og hvilke handlinger der efterfølgende er foretaget via privilegerede rettigheder.

Særligt følsomme handlinger som ændringer af bankkontooplysninger, oprettelse af betalingsmodtagere og igangsættelse af udbetalinger bør omfattes af uafhængig kontrol og en effektiv personmæssig adskillelse. Logning har kun reel kontrolværdi, hvis logoplysningerne gennemgås af personer, der ikke selv kan foretage de kontrollerede handlinger.

Økonomistyrelsens vejledning fremhæver blandt andet periodisk kontrol af rettigheder, dokumentation for tildelingen, vurdering af fortsat relevans, fjernelse af overflødige adgange og ledelsesmæssig opfølgning på identificerede afvigelser.

Kilde: #Ingeniøren, #Rigsrevisionen, #Statsrevisorerne, #Retsinformation, #Økonomistyrelsen og #Anklagemyndigheden, Morten Jensen, Advokat og Revisor Samvirket, AORS.DK
Fotokredit: Folketinget
Personer/Firmaer/Emner/#: #SkatteOgVækstministeriet, #Skatteministeriet, #Rigsrevisionen, #Statsrevisorerne, #Regnskabsbekendtgørelsen, #Funktionsadskillelse, #Adgangsstyring, #InternKontrol, #Regnskabssystemer, #OffentligeMidler, #Svindelrisiko, #BrittaNielsen, #Økonomistyrelsen
Copyrights: Ⓒ 2026 Copyright by https://AORS.DK – kan deles ved aktivt link til denne artikel.