Begge rapporttyper vurderes op mod de samme tillidsprincipper. Forskellen ligger i, om revisor kigger på ét tidspunkt eller på en hel periode.
En Type I-rapport vurderer, om organisationens kontroller er designet hensigtsmæssigt på en bestemt dato. Den siger noget om, at de rigtige kontroller er på plads — men ikke om, hvordan de har fungeret over tid.
En Type II-rapport vurderer ikke kun designet, men også kontrollernes effektivitet over en periode — typisk 3 til 12 måneder. Den viser, at organisationen kan opretholde sikkerhedsforanstaltningerne løbende, og opfattes som mere omfattende og værdifuld.
| Parameter | Type I | Type II |
|---|---|---|
| Hvad vurderes | Er kontrollerne designet korrekt? | Er kontrollerne designet korrekt OG virkede de effektivt? |
| Tidsperspektiv | Et bestemt tidspunkt (en dato) | En periode — typisk 3 til 12 måneder |
| Observationsvindue | Ingen | Kræver en observationsperiode, hvor kontrollerne testes over tid |
| Tidsforbrug | Kortere — ofte uger til få måneder | Længere — perioden plus selve revisionen |
| Grundighed | Øjebliksbillede | Mere omfattende og troværdig |
| Typisk brug | Første skridt eller hurtig dokumentation | Det kunder oftest efterspørger |
Hvad med observationsperioden?
For en Type II fastlægger man en observationsperiode, hvor revisor indsamler beviser for, at kontrollerne rent faktisk virkede. For en første rapport er et vindue på 3–6 måneder almindeligt, mens efterfølgende rapporter ofte dækker 12 måneder, så der ikke opstår huller mellem rapporterne.
Mange virksomheder starter med en Type I for hurtigt at kunne vise fremdrift og fortsætter derefter direkte i en Type II-observationsperiode. Har jeres kunder allerede gjort det klart, at de kræver en Type II, kan det ofte betale sig at gå direkte efter den og springe Type I over. Den rigtige rækkefølge afhænger af jeres tidsplan, budget og kundekrav — noget en struktureret forberedelse og en kvalificeret revisor kan hjælpe med at afklare.